CA2951843A1

CA2951843A1 - Systeme et procede de commande et de surveillance d'equipements d'un aeronef

Info

Publication number: CA2951843A1
Application number: CA2951843A
Authority: CA
Inventors: Arnaud Branthomme; Guy Schaller; Lorianne Boutzen
Original assignee: Dassault Aviation SA
Current assignee: Dassault Aviation SA
Priority date: 2015-12-24
Filing date: 2016-12-14
Publication date: 2017-06-24
Anticipated expiration: 2036-12-14
Also published as: BR102016029882A2; BR102016029882B1; US20170183085A1; FR3046262B1; FR3046262A1; CA2951843C

Abstract

Système (2) de commande et de surveillance d'équipements d'un aéronef, chaque équipement étant apte à être commuté entre deux valeurs d'état logique d'activation, comprenant une interface homme machine (16), un module (40) de configuration d'un état fonctionnel d'activation d'une fonction propre à être réalisée au moins équipements d'un système de l'aéronef, l'état fonctionnel d'activation étant configurable entre un état actif et un état inactif, ledit module (40) de configuration étant adapté pour détecter une action de sélection d'un état fonctionnel d'activation de ladite fonction par un opérateur, et un module (44) de commande et de surveillance configuré pour déterminer un état logique d'activation de chacun desdits équipements dudit système, de telle sorte que, lorsque chacun desdits équipements est dans l'état logique d'activation déterminé, ladite fonction soit dans l'état fonctionnel d'activation sélectionné.

Description

285447.59 CA
Système et procédé de commande et de surveillance d'équipements d'un aéronef La présente invention concerne un système de commande et de surveillance d'équipements d'un aéronef, chaque équipement étant apte à être commuté entre au moins deux valeurs d'état logique d'activation.
Un tel système est destiné à être utilisé dans un cockpit de l'aéronef, afin de faciliter le travail de l'équipage pour la commande de l'exécution de fonctions lors de l'évolution de l'aéronef.
Il peut également être mis en oeuvre par un opérateur à distance de l'aéronef.
Pour commander les équipements de l'aéronef, il est habituellement mis à
disposition de l'équipage, notamment dans le cockpit de l'aéronef, un panneau de commandes (la majorité des commandes étant regroupée dans le tableau supérieur situé en haut du cockpit), comprenant un ensemble d'organes de commande, par exemple des boutons de commande tels que des interrupteurs, chacun dédié à un équipement particulier.
Chaque bouton de commande permet à un opérateur de piloter l'activation de l'équipement associé, en particulier de sélectionner un état d'activation pour cet équipement parmi les états d'activation possibles, par exemple un état de marche, dans lequel l'équipement fonctionne dans un mode nominal, et un état d'arrêt.
Les équipements peuvent être regroupés par systèmes. D'une part, chaque système peut comprendre plusieurs équipements propres à réaliser conjointement un service ou fonction particulier. D'autre part, un équipement peut participer à la réalisation de plus d'une fonction et appartenir alors à plusieurs systèmes distincts.
L'équipage dispose par ailleurs d'un dispositif d'affichage (couramment appelé

synoptique ), par exemple d'un ou plusieurs écrans, sur lequel peut être affiché l'état d'activation et/ou de fonctionnement de chacun des équipements. Ainsi, à la majorité des systèmes est associée une fenêtre pouvant afficher un schéma logique du système, et l'état d'activation et/ou de fonctionnement de chacun de ses équipements.
Un tel affichage permet à l'équipage de suivre l'état d'activation et/ou de fonctionnement d'un équipement, et plus généralement du ou des système(s) au(x)quel(s) il appartient, en réponse à une action sur le bouton de commande associé à cet équipement.
Chaque fonction peut prendre au moins deux états d'activation distincts, par exemple un état activé, dans lequel la fonction est active, c'est-à-dire dans lequel les équipements du 285447.59 CA
système associé réalisent cette fonction, et un état désactivé, dans lequel la fonction est inactive.
Pour changer l'état d'activation d'une fonction, par exemple pour passer de l'état actif à l'état inactif ou pour passer de l'état inactif à l'état actif, l'équipage doit effectuer une série d'opérations sur les équipements du système associé à la fonction, selon une procédure prédéfinie. Cette procédure peut être affichée dans une fenêtre dédiée à
l'ensemble des procédures.
Les opérations sont par exemple des actions à exécuter telles que des commandes de tout ou partie des équipements du système, au moyen des boutons de commande dédiés (par exemple disposés sur le tableau supérieur), et des vérifications, par l'opérateur, de l'application de ces commandes sur la fenêtre d'affichage (ou synoptique) associée au système.
Ainsi, pour changer l'état d'activation d'une fonction, l'opérateur doit reporter son attention successivement sur la fenêtre affichant la procédure à mettre en oeuvre pour cette activation ou cette inactivation, puis sur le panneau de commande, pour changer l'état d'activation d'un équipement du système réalisant la fonction, puis sur la fenêtre associée à
ce système, pour vérifier la prise en compte de cette commande.
Cette dispersion des informations et commandes/surveillances entraîne une surcharge de travail pour l'opérateur, et ne lui permet pas d'avoir une conscience globale de la situation, en particulier du lien entre l'état d'activation des différents équipements du système et l'état d'activation de la fonction associée.
En outre, en cas de panne d'un équipement, cet état de panne peut être affiché
sans que pour autant l'équipage puisse savoir si la ou les fonctions réalisées par cet équipement sont affectées.
Les systèmes de commande et de surveillance connus ne sont donc pas entièrement satisfaisants.
Un but de l'invention est de fournir un système de commande et de surveillance, qui permette de gérer les équipements de l'aéronef de manière simplifiée, en fournissant au pilote une conscience globale du lien entre les états d'activation et de fonctionnement des équipements et les états d'activation et de fonctionnement des fonctions réalisées au moyen de ces équipements.
A cet effet, l'invention a pour objet un système de commande et de surveillance du type précité comprenant :

- 2 -285447.59 CA
- une interface homme machine, - un module de configuration d'un état fonctionnel d'activation d'au moins une fonction propre à être réalisée par au moins deux équipements d'un système dudit aéronef, l'état fonctionnel d'activation de ladite fonction étant configurable entre au moins un état actif et un état inactif de ladite fonction, ledit module de configuration étant adapté pour détecter une action de sélection d'un état fonctionnel d'activation de ladite fonction par un opérateur par l'intermédiaire de ladite interface homme machine, - un module de commande et de surveillance, configuré pour déterminer, à
partir de l'état fonctionnel d'activation de ladite fonction sélectionné, un état logique d'activation de chacun desdits au moins deux équipements dudit système, de telle sorte que, lorsque chacun desdits au moins deux équipements est dans l'état logique d'activation déterminé par ledit module de commande et de surveillance, ladite fonction soit dans l'état fonctionnel d'activation sélectionné.
Lesdits au moins deux équipements du système de l'aéronef sont des équipements de l'aéronef. Le système de l'aéronef comprend ainsi au moins deux équipements chacun apte à être commuté entre au moins deux valeurs d'état logique d'activation.
Le système selon l'invention peut comprendre l'une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toute combinaison techniquement possible :
- ledit module de commande et de surveillance est configuré pour envoyer un signal de commande à chacun desdits au moins deux équipements dudit système en vue de commuter chacun desdits au moins deux équipements dans l'état logique d'activation déterminé ;
- ladite interface homme machine comprend un dispositif d'affichage, et ledit système comprend en outre un module d'affichage, configuré pour commander l'affichage, sur une fenêtre dudit dispositif d'affichage, d'au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction ;
- ledit système est configuré pour réaliser une pluralité de fonctions, et ledit module d'affichage est configuré pour commander l'affichage sur ladite fenêtre dudit dispositif d'affichage, d'un synoptique fonctionnel dudit système, ledit synoptique fonctionnel comprenant, pour chacune de ladite pluralité de fonctions, au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction ;

- 3 -285447.59 CA
- ledit dispositif d'affichage comprend un écran tactile, et l'interface homme machine est configurée pour détecter une position d'un objet de commande sur ledit écran tactile ;
- ledit module d'affichage est configuré pour commander l'affichage sur ladite fenêtre dudit dispositif d'affichage d'une icône actionnable par un opérateur, ladite action de sélection d'un état fonctionnel d'activation de ladite fonction par un opérateur comprenant un actionnement de ladite icône ;
- le module de commande et de surveillance est configuré pour déterminer, en fonction d'un état courant dudit système, une commande de modification de l'état d'activation de ladite fonction devant être exécutée par l'opérateur, et pour commander l'affichage, par ledit module d'affichage, de ladite icône selon une représentation spécifique, en vue d'inciter un opérateur à modifier l'état fonctionnel d'activation de ladite fonction ;
- ledit module de commande et de surveillance est configuré pour détecter une panne d'un équipement dudit système et pour déterminer, lorsque la panne est détectée, si ladite fonction est impactée par ladite panne, ledit module d'affichage étant configuré pour afficher, sur ladite fenêtre, au moins un objet représentatif de ladite panne et de l'impact de ladite panne sur ladite fonction ;
- ledit module de configuration est adapté pour détecter une action de sélection d'un mode de ladite fonction par un opérateur par l'intermédiaire de ladite interface homme machine ;
- ladite fonction est configurée pour fonctionner selon un mode manuel, dans lequel l'état fonctionnel d'activation de la fonction est sélectionnable par un opérateur, ou un mode automatique, dans lequel ledit module de commande et de surveillance est propre à
sélectionner l'état fonctionnel d'activation de la fonction de manière automatique, selon des critères prédéterminés ;
- ladite fonction est une fonction de transfert d'énergie ou de fluide entre aux moins deux desdits équipements de l'aéronef ;
- ladite fonction est une fonction de transfert de carburant entre au moins deux des équipements de l'aéronef, lesdits au moins deux équipements du système comprenant au moins une pompe adaptée pour transférer du carburant entre lesdits au moins deux équipements de l'aéronef.
L'invention a également pour objet un procédé de commande et de surveillance d'équipements d'un aéronef, chaque équipement étant apte à être commuté entre au moins

- 4 -285447.59 CA
deux valeurs d'état logique d'activation, ledit procédé de commande et de surveillance comprenant les étapes successives suivantes :
- sélection, par un opérateur, par l'intermédiaire d'une interface homme machine, d'un état fonctionnel d'activation d'une fonction propre à être réalisée par au moins deux des équipements d'un système dudit aéronef, l'état fonctionnel d'activation de ladite fonction étant configurable entre au moins un état actif et un état inactif de ladite fonction, - détection de la sélection dudit état fonctionnel d'activation, - détermination, à partir de l'état fonctionnel d'activation de ladite fonction sélectionné, d'un état logique d'activation de chacun desdits au moins deux équipements dudit système, de telle sorte que, lorsque chacun desdits au moins deux équipements est dans l'état logique d'activation déterminé, ladite fonction soit dans l'état fonctionnel d'activation sélectionné.
Le procédé selon l'invention peut comprendre l'une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou suivant toute combinaison techniquement possible :
- ledit procédé comprend en outre une étape d'émission d'un signal de commande à
destination de chacun desdits au moins deux équipements dudit système en vue de commuter chacun desdits au moins deux équipements dans l'état logique d'activation déterminé lors de l'étape de détermination.
- le procédé comprend en outre une étape d'affichage, sur une fenêtre d'un dispositif d'affichage, d'au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction.
- le procédé comprend en outre une étape d'affichage, sur ladite fenêtre du dispositif d'affichage, d'au moins un objet représentatif de l'état logique de chacun desdits au moins deux équipements dudit système et/ou d'un état de fonctionnement de chacun desdits au moins deux équipements dudit système.
L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et faite en se référant aux dessins annexés, sur lesquels :
- la Figure 1 est un schéma représentant un système de commande et de surveillance selon un mode de réalisation de l'invention ;
- la Figure 2 est un schéma ou synoptique fonctionnel associé à un système d'un aéronef, destiné à être affiché à destination d'un opérateur par le système de commande et de surveillance de la Figure 1, dans une première configuration des équipements du système ;
- la Figure 3 est un schéma d'un procédé selon un mode de réalisation de l'invention ;

- 5 -285447.59 CA
- la Figure 4 est un schéma ou synoptique fonctionnel associé à un système d'un aéronef, destiné à être affiché à destination d'un opérateur par le système de commande et de surveillance de la Figure 1, dans une deuxième configuration des équipements du système.
Un système 2 de commande et de surveillance d'équipements d'un aéronef selon un mode de réalisation de l'invention est illustré schématiquement sur la Figure 1.
Ce système 2 de commande et de surveillance est par exemple destiné à être monté
dans un aéronef, notamment dans un cockpit, à destination de l'équipage de l'aéronef. En variante, le système 2 de commande et de surveillance peut également être situé au sol, notamment dans une station au sol, et peut être destiné à la commande et à la surveillance d'un aéronef à distance depuis la station au sol.
Le système 2 de commande et de surveillance est destiné à permettre la gestion par un opérateur de fonctions réalisées par des équipements de type actionneur de l'aéronef.
Ces équipements de type actionneur forment des systèmes. Un système comprend plusieurs équipements distincts propres à réaliser conjointement une fonction particulière.
Ces systèmes sont des systèmes avions, et comprennent notamment des systèmes de gestion d'énergie, par exemple un système électrique, un système de gestion de carburant, un système de propulsion, et/ou des systèmes de transfert de fluide, par exemple un système de conditionnement....
Par exemple, chaque système peut être un système de prélèvement d'air (BAS
pour Bleed Air System en anglais), un système de conditionnement (ECS pour Environmental Control System en anglais), un système antigivrage, un système de pressurisation, un groupe auxiliaire de puissance (APU pour Auxiliary Power Unit en anglais), un système électrique, par exemple de distribution ou de génération d'énergie électrique, une turbine à air dynamique (RAT pour RAM Air Turbine en anglais) ou un système de câblage, un système de détection de feu, un système de transfert de carburant, un système hydraulique, un système de propulsion (par exemple IPPS pour Integrated Power Plant System en anglais), un système d'atterrissage, un système d'éclairage, un système de gestion d'oxygène, un système de gestion d'eau, un système de gestion du freinage.
Chaque équipement de type actionneur peut intervenir dans la réalisation de plusieurs fonctions, et même appartenir à deux systèmes distincts.

- 6 -285447.59 CA
Chaque équipement de type actionneur est un équipement ayant un impact physique sur le système auquel il appartient, cet impact dépendant de l'état d'activation de cet équipement.
Chaque équipement de type actionneur peut en effet être commuté entre au moins deux états logique d'activation, appelés par la suite états d'activation, notamment un état de marche, dans lequel l'équipement est actif, et un état d'arrêt, dans lequel l'équipement est inactif.
En outre, chaque équipement peut fonctionner dans un état de fonctionnement normal, dans lequel l'équipement fonctionne ou est propre à fonctionner de manière optimale, dans un état de fonctionnement dégradé, pouvant correspondre à une panne de cet équipement, ou dans un état de fonctionnement perdu, dans lequel l'état d'activation de l'équipement est inactif et ne peut plus être contrôlé.
Chaque fonction est réalisée par plusieurs équipements de type actionneur distincts du système auquel cette fonction est rattachée. Dans le cadre de la présente demande, on entend par équipements de type actionneur distincts, des équipements de type actionneur dont les états d'activation peuvent être commutés indépendamment les uns des autres.
En outre, on appellera par la suite équipements associés à une fonction les équipements propres à réaliser conjointement cette fonction, et on appellera système associé
à une fonction, le système comprenant ces équipements.
Chaque fonction peut prendre au moins deux états fonctionnels d'activation, également appelés par la suite états d'activation, par exemple un état actif, dans lequel la fonction est réalisée par les équipements associés, et un état inactif, dans lequel la fonction n'est pas réalisée par les équipements associés.
L'état d'activation de chaque fonction dépend notamment de l'état d'activation et de fonctionnement de chacun des équipements associés à cette fonction.
Les fonctions sont par exemple des fonctions de transfert d'énergie entre au moins deux équipements, notamment des fonctions de transfert électrique, hydraulique, de carburant, de volumes d'air ou de transfert d'énergie mécanique.
Dans ce cas, l'état actif de la fonction correspond à un transfert actif d'énergie entre au moins deux équipements, tandis que l'état inactif de la fonction correspond à une absence de transfert d'énergie entre ces équipements.
Les fonctions peuvent également comprendre des fonctions de stockage ou de transformation d'énergie.

- 7 -285447.59 CA
Au moins certaines des fonctions peuvent fonctionner selon un mode manuel, dans lequel l'état d'activation de la fonction peut être modifié manuellement par un opérateur, et un mode automatique, dans lequel l'état d'activation de la fonction est modifié
de manière automatique par le système 2 de commande et de surveillance.
En outre, chaque fonction peut fonctionner selon au moins deux états de fonctionnement, notamment un état normal (sans limitation), et au moins un état dégradé, par exemple un état dégradé avec marge de sûreté, un état dégradé sans marge de sûreté, également appelé état de secours, et un état perdu. Les états de fonctionnement normal et dégradé peuvent être constatés que la fonction soit dans l'état d'activation actif ou inactif.
Plus généralement, l'état d'activation d'une fonction et son état de fonctionnement peuvent être indépendants l'un de l'autre.
Dans l'état de fonctionnement normal, la fonction est réalisée ou réalisable de manière nominale, sans limitation.
Dans un état de fonctionnement dégradé, l'utilisation de la fonction génère des limitations.
Un état de fonctionnement dégradé d'une fonction peut résulter d'une panne d'un équipement participant à cette fonction. En particulier, une fonction peut être dégradée si l'un de ses équipements est indisponible suite à une perte de sa ressource (par exemple électrique).
Par ailleurs, chaque fonction peut être contrôlable ou non contrôlable.
Lorsque la fonction est contrôlable, l'état d'activation de la fonction peut être configuré
depuis l'état actif vers l'état inactif, et à l'inverse depuis l'état inactif vers l'état actif.
Lorsque la fonction est non contrôlable, l'état d'activation de la fonction ne peut être modifié, c'est-à-dire que la fonction est bloquée dans l'état actif ou dans l'état inactif.
En particulier, un état de fonctionnement perdu d'une fonction est un état dans lequel la fonction est dans l'état inactif et n'est pas contrôlable.
L'état d'activation et le mode (automatique ou manuel) d'une fonction sont configurables par un opérateur au moyen de l'interface homme machine 16.
En revanche, l'état de fonctionnement (normal, dégradé, etc.) et le caractère contrôlable ou non contrôlable d'une fonction ne sont pas modifiables par un opérateur, mais sont des caractéristiques de la fonction constatées par le système 2 de commande et de surveillance.

- 8 -285447.59 CA
Le système 2 de commande et de surveillance est configuré pour permettre à un opérateur de commander l'état d'activation et le mode manuel ou automatique des fonctions des différents systèmes de l'aéronef, et pour commander en conséquence les états d'activation des équipements associés à ces fonctions.
Le système 2 de commande et de surveillance est également configuré pour informer l'opérateur de l'état d'activation, du mode manuel ou automatique, de l'état de fonctionnement courant, et du caractère contrôlable ou non contrôlable de ces fonctions.
Le système 2 de commande et de surveillance comprend une unité centrale 10 de traitement, un dispositif 12 d'affichage et une interface homme machine 16.
Le dispositif 12 d'affichage comprend un écran 14 et des moyens de traitement de l'information graphique, par exemple un processeur graphique et une mémoire graphique associée.
Le processeur graphique est adapté pour traiter l'information graphique stockée dans la mémoire graphique et réaliser l'affichage sur l'écran 14 de cette information ou d'une représentation de celle-ci.
L'interface homme machine 16 est notamment destinée à permettre la commande de l'état d'activation et du mode des différentes fonctions associées aux systèmes par un opérateur, par exemple un membre de l'équipage de l'aéronef.
L'interface homme machine 16 comprend par exemple un dispositif de commande tactile, configuré pour détecter la position d'un ou plusieurs organes, appelés par la suite organes de commande, sur une surface de ce dispositif de commande tactile.
De manière connue, ces organes de commande peuvent être un stylet ou les doigts d'un opérateur.
Dans la suite de la description, on considèrera un mode de réalisation dans lequel ce dispositif de commande tactile et l'écran 14 présentent une forme commune, sous la forme d'un écran tactile.
Ainsi, l'interface homme machine 16 est configurée pour détecter la position d'un ou plusieurs organes de commande, sur la surface de l'écran 14.
Certaines technologies de dispositif de commande tactile permettent de détecter la position d'organes de commande sans qu'il existe un contact entre l'organe de commande et la surface du dispositif de commande tactile. Par la suite, l'expression sur une surface ou sur)> un écran devra être comprise comme signifiant sur ou à proximité de cette surface ou de cet écran.

- 9 -285447.59 CA
L'unité centrale 10 de traitement est adaptée pour exécuter des applications nécessaires au fonctionnement du système 2 de commande et de surveillance.
L'unité centrale 10 de traitement comprend à cette fin un processeur 18 et une ou plusieurs mémoires 20.
Le processeur 18 est adapté pour exécuter des applications contenues dans la mémoire 20, notamment un système d'exploitation permettant le fonctionnement classique d'un système informatique.
La mémoire 20 comprend différentes zones de mémoire contenant notamment des informations relatives aux différents systèmes de l'aéronef et des applications destinées à
être exécutées par le processeur 18.
Les informations relatives aux systèmes de l'aéronef comprennent notamment, pour chaque système, des informations relatives aux équipements de ce système, en particulier les états d'activation et de fonctionnement possibles pour chacun de ces équipements.
Ces informations comprennent également, pour chaque fonction pouvant être réalisée par un système, au moins une procédure permettant de modifier l'état d'activation et/ou le mode de cette fonction.
Chaque procédure comprend généralement une série d'opérations mises en oeuvre sur un ou plusieurs équipements du système associé à la fonction, en vue de modifier l'état d'activation et/ou le mode de la fonction.
Cette série d'opérations comprend généralement des commandes de modification d'états d'activation des équipements, suivis d'une vérification de l'application de ces commandes.
Cette série d'opérations est généralement ordonnée.
La mémoire 20 comprend une application 30 d'affichage, destinée à permettre à
un opérateur de suivre et/ou de commander l'état d'activation, l'état de fonctionnement et le mode des fonctions des systèmes de l'aéronef.
La mémoire 20 comprend par ailleurs une application 40 de configuration, propre à
détecter une action de sélection d'un état d'activation et/ou d'un mode de ces fonctions par un opérateur.
La mémoire 20 comprend en outre une application 44 de commande et de surveillance, configurée pour surveiller et piloter les équipements des systèmes, notamment en réponse à une commande d'un opérateur.

-10-285447.59 CA
L'application 30 d'affichage, appelée par la suite module 30 d'affichage, est configurée pour commander l'affichage, sur une fenêtre dédiée de l'écran 14, pour chaque système, d'un synoptique fonctionnel représentatif de ce système.
En particulier, ce synoptique fonctionnel comprend, pour chaque fonction propre à
être réalisée par le système, un objet représentatif de l'état d'activation et du mode courants de cette fonction.
Chaque objet comprend par exemple une icône représentative de la fonction et un ou plusieurs symbole(s) ou indication(s) alphanumérique(s) associée(s) à cette icône.
Chaque fonction est représentée sur ce synoptique fonctionnel par un objet présentant au moins un premier attribut, indicatif de l'état d'activation courant de la fonction.
Cet objet présente au moins un deuxième attribut, indicatif du mode de la fonction et/ou au moins un troisième attribut, indicatif de l'état de fonctionnement de la fonction et/ou au moins un quatrième attribut, indicatif du caractère contrôlable ou non contrôlable de la fonction.
L'affichage de tels attributs permet de limiter l'interprétation nécessaire à
la prise de conscience de la situation, et ainsi permet à l'opérateur de prendre rapidement conscience de la situation.
En particulier, en cas de panne d'un équipement, le module d'affichage 30 est propre à signaler la ou les fonctions ne fonctionnant plus dans un état de fonctionnement normal en conséquence de cette panne, ce qui permet à l'opérateur de visualiser directement quelles fonctions sont impactées, donc de limiter la charge de travail pour l'opérateur.
Un état de fonctionnement dégradé, de secours ou perdu d'une fonction peut être signalé lorsque la fonction est active ou lorsque la fonction est inactive.
Le signalement d'un état de fonctionnement dégradé, de secours ou perdu d'une fonction, lorsque cette fonction est active, permet à un opérateur de prendre connaissance du fait que cette fonction peut induire des limitations car elle est incomplètement réalisée.
Le signalement d'un état de fonctionnement dégradé, de secours ou perdu d'une fonction, lorsque cette fonction est inactive, permet d'informer un opérateur du fait que la fonction pourrait induire des limitations car elle serait incomplètement réalisée si celle-ci devait être activée, ou ne pourrait être activée. Un tel signalement permet donc à un opérateur d'anticiper de futurs dysfonctionnements d'une fonction.
Par ailleurs, lorsqu'une fonction est non contrôlable, par exemple bloquée dans l'état actif ou dans l'état inactif, le signalement de ce caractère non contrôlable permet à

-11-285447.59 CA
l'opérateur d'anticiper une future absence de réponse du système suite à une commande de modification de l'état d'activation de la fonction.
Comme décrit plus en détails ci-après dans le cadre d'un exemple, une fonction de transfert d'énergie est par exemple représentée sur le synoptique fonctionnel par une flèche symbolisant ce transfert d'énergie.
Le premier attribut, indicatif de l'état d'activation courant de la fonction, est alors par exemple une couleur de la flèche et/ou un type de tracé de la flèche, et/ou une indication alphanumérique affichée en regard de la flèche et dont le contenu et/ou le type d'affichage dépend de l'état d'activation courant de la fonction.
Le deuxième attribut, indicatif du mode de la fonction, et le quatrième attribut, indicatif du caractère contrôlable ou non contrôlable de la fonction, sont par exemple des indications alphanumériques.
Lorsque la fonction de transfert d'énergie est active, la flèche est par exemple représentée par un trait continu ou par un trait en pointillés, notamment de couleur verte.
Selon cet exemple, lorsque la fonction de transfert d'énergie est inactive, la flèche est par exemple représentée par un trait interrompu, notamment de couleur grise.
Par ailleurs, deux ou trois indicateurs alphanumériques sont disposés en regard de chaque flèche, la couleur de ces indicateurs étant indicative de l'état d'activation et/ou du mode de la fonction. Notamment, un premier indicateur, par exemple OFF , est associé à
un état d'activation inactif, en mode manuel, un deuxième indicateur, par exemple ON , est associé à un état d'activation actif, en mode manuel, et un troisième indicateur, par exemple AUTO , est associé à un mode automatique, que l'état d'activation soit actif ou inactif.
Lorsque la fonction est inactive en mode manuel, le premier indicateur alphanumérique est affiché en vert, les deuxième et troisième indicateurs étant affichés en gris. Lorsque la fonction est active en mode manuel, le deuxième indicateur alphanumérique est affiché en vert, les premier et troisième indicateurs étant affichés en gris. Lorsque la fonction est en mode automatique, que l'état d'activation soit actif ou inactif, le troisième indicateur alphanumérique est affiché en vert, les premier et deuxième indicateurs étant affichés en gris.
Le troisième attribut, indicatif de l'état de fonctionnement de la fonction, comprend par exemple une couleur spécifique de l'objet associé à la fonction, par exemple, dans le cas

- 12-285447.59 CA
d'une fonction de transfert d'énergie, une couleur spécifique de la flèche représentative de ce transfert d'énergie, par exemple une couleur orange lorsque la fonction est dégradée.
Le troisième attribut comprend de préférence également un type d'affichage spécifique de l'indicateur alphanumérique représentatif de l'état d'activation et/ou du mode de la fonction.
Par exemple, un état de fonctionnement normal est signalé par des indicateurs alphanumériques vert ou gris en fonction de l'état d'activation et du mode courants. Un état de fonctionnement dégradé est signalé par un cadre orange entourant les indicateurs alphanumériques, la couleur de ces derniers étant verte ou grise en fonction de l'état d'activation courant et du mode de la fonction. Un état de fonctionnement perdu est signalé
par un trait barrant l'indicateur associé à l'état d'activation courant et au mode courant de la fonction. Dans cet état de fonctionnement perdu, la fonction n'est pas contrôlable.
Par ailleurs, lorsqu'une fonction n'est pas contrôlable, une couleur spécifique de l'indicateur alphanumérique associé à l'état d'activation ou au mode sélectionné permet de signaler si l'état d'activation et le mode courants de la fonction sont conformes à l'état d'activation et au mode sélectionné.
De préférence, le module 30 d'affichage est également configuré pour commander l'affichage sur la fenêtre, pour au moins certaines des fonctions, en particulier pour au moins une fonction de transfert d'énergie, d'au moins un objet de commande actionnable par un opérateur, au moyen de l'écran tactile 14, en vue de modifier l'état d'activation et/ou le mode de cette fonction.
Par exemple, l'actionnement de cet objet par un opérateur est destiné à
commander une activation ou une désactivation en mode manuel de la fonction, ou une sélection du mode automatique pour la fonction.
De préférence, le module 30 d'affichage est configuré pour afficher cet objet de commande selon une représentation spécifique, par exemple en surbrillance, lorsqu'une modification de l'état d'activation de la fonction est recommandée, afin d'inciter l'opérateur à
modifier l'état d'activation de la fonction.
A la suite d'une telle action de commande d'un opérateur, et suite à une modification de l'état d'activation et/ou du mode d'une fonction par le système 2 de commande et de surveillance en réponse à cet actionnement, le module 30 d'affichage est propre à mettre à
jour sur l'écran 14 le type d'affichage de l'objet représentatif de cette fonction.

-13-285447.59 CA
Notamment, le module 30 d'affichage est propre à mettre à jour le premier attribut de cet objet, indicatif de l'état d'activation courant de la fonction et/ou son deuxième attribut, indicatif du mode de la fonction.
Une telle mise à jour permet à l'opérateur de prendre conscience de la prise en compte de son action de commande, et de la modification effective de l'état d'activation et/ou du mode de la fonction.
Comme décrit plus en détails ci-après, à la suite d'une action de modification de l'état d'activation d'une fonction, le module 44 de commande et de surveillance est propre à
commander l'état d'activation des équipements réalisant cette fonction afin que l'état d'activation de la fonction soit celui sélectionné par l'opérateur.
De préférence, à la suite d'une telle action de modification, le module 30 d'affichage est configuré pour afficher sur la fenêtre dédiée au système associé à la fonction, pour chacun des équipements réalisant cette fonction, un objet représentatif de l'état d'activation et de fonctionnement de cet équipement.
Ces objets sont de préférence affichés de manière temporaire, i.e. pendant une durée prédéterminée, afin de ne pas surcharger la fenêtre d'affichage car ils correspondent à des éléments logiques et non fonctionnels.
Un tel affichage permet à l'opérateur de prendre connaissance des modifications des états logiques d'activation réalisés afin de modifier l'état d'activation de la fonction, et donc d'améliorer sa conscience de la situation.
Un tel affichage permet également à l'opérateur de comprendre le fonctionnement du système, afin d'être à même de commander manuellement chacun des équipements du système en cas de panne.
Par ailleurs, lorsqu'une fonction est dans un état de fonctionnement dégradé, de secours ou perdu à la suite d'une panne d'un équipement associé à cette fonction, le module d'affichage est adapté pour signaler cette panne, par exemple en affichant un objet représentatif de l'état de fonctionnement dégradé de cet équipement.
De préférence, lorsqu'une telle panne se produit, le module 30 d'affichage affiche un objet représentatif de l'état de fonctionnement de chaque équipement associé à
la fonction se 30 trouvant dans un état de fonctionnement dégradé à la suite de cette panne.
Un tel affichage permet à un opérateur de prendre conscience du ou des équipement(s) en cause lorsqu'une fonction est en état de fonctionnement dégradé, de secours ou perdu, en minimisant la charge de travail nécessaire à l'opérateur.

- 14-285447.59 CA
Le module 30 d'affichage est ainsi propre à commander l'affichage sur l'écran 14, à
chaque instant, d'informations relatives :
- à l'état d'activation courant, actif ou inactif, des fonctions mises en oeuvre par un système, - au mode manuel ou automatique, de ces fonctions, - à l'état de fonctionnement, normal, dégradé, ou perdu, de ces fonctions, - aux états d'activation et de fonctionnement d'équipements du système, au moins lorsque ces équipements sont en état de fonctionnement dégradé ou perdu ou participent, avec un autre équipement en état de fonctionnement dégradé ou perdu, à la mise en uvre d'une fonction, - au caractère contrôlable ou non contrôlable de ces fonctions.
De préférence, le module 30 d'affichage est également configuré pour afficher un synoptique logique d'un système en complément du synoptique fonctionnel.
Sur un tel synoptique logique, chaque équipement est représenté par un objet spécifique, et les différents objets sont reliés entre eux comme le sont les équipements dans le système.
L'affichage d'un tel synoptique logique permet par exemple à un opérateur, à
la suite d'un incident, d'analyser a posteriori cet incident. En effet, le déroulement d'une procédure suite à une panne ne devrait faire intervenir que le synoptique fonctionnel.
Un tel synoptique logique est par exemple affiché en réponse à une commande d'un opérateur sur une icône de commande dédiée, ou de manière automatique, par exemple en cas de panne.
Ce synoptique logique peut être affiché en complément ou en remplacement du synoptique fonctionnel du système.
L'application 40 de configuration, appelée par la suite module 40 de configuration, est propre à détecter une action de sélection d'un état d'activation de la fonction par un opérateur par l'intermédiaire de l'interface homme machine 16.
Cette action de sélection comprend par exemple un actionnement de l'objet actionnable associé à la fonction par un opérateur, au moyen de l'interface homme machine 16, en particulier au moyen de l'écran tactile 14.
De préférence, le module 40 de configuration est également configuré pour détecter une action de sélection d'un mode de la fonction par un opérateur par l'intermédiaire de l'interface homme machine 16.

-15-285447.59 CA
Par ailleurs, le module 40 de configuration est également configuré pour détecter une action de sélection d'un état d'activation d'un équipement.
L'application 44 de commande et de surveillance des équipements du système, appelée par la suite module 44 de commande et de surveillance, est configurée pour vérifier en temps réel l'état d'activation (marche/arrêt) de chacun des équipements du système et l'état de fonctionnement (normal, dégradé, etc.) de ces équipements.
Le module 44 de commande et de surveillance est également configuré pour déduire, à partir des états d'activation et de fonctionnement des équipements du système, l'état d'activation et l'état de fonctionnement des fonctions mises en oeuvre par ce système.
En particulier, si une panne intervient sur un équipement, le module 44 de commande et de surveillance est propre à détecter cette panne et à en déduire quelles fonctions du système sont impactées par cette panne, notamment quelles fonctions sont en état de fonctionnement dégradé, de secours ou perdu.
Le module 44 de commande et de surveillance est configuré pour transmettre ces informations au module 30 d'affichage, en particulier l'état d'activation, le mode, l'état de fonctionnement et le caractère contrôlable ou non contrôlable de chacune des fonctions, en vue de l'affichage par le module 30 d'affichage, sur l'écran 14, de ces informations.
Par ailleurs, le module 44 de commande et de surveillance est configuré pour commander les états d'activation des différents équipements d'un système, en fonction d'un état d'activation d'une ou plusieurs fonctions mise(s) en oeuvre par ce système sélectionné
par un opérateur et détecté par le module 40 de configuration.
Notamment, le module 44 de commande et de surveillance est configuré pour déterminer, à partir d'un état d'activation sélectionné d'une fonction, tel que détecté par le module 40 de configuration, l'état logique d'activation de chaque équipement du système permettant d'atteindre cet état fonctionnel d'activation.
En particulier, le module 44 de commande et de surveillance est configuré pour déterminer, à partir de l'état fonctionnel d'activation sélectionné et de l'état logique de fonctionnement courant des équipements du système associé à la fonction, une série d'opérations à mettre en oeuvre afin de commuter l'état d'activation de la fonction de son état fonctionnel d'activation courant à l'état fonctionnel d'activation sélectionné.
Cette série d'opérations inclut par exemple des commandes de modification d'états logiques d'activation d'au moins deux équipements du système, suivies d'une vérification de l'application de ces commandes. Cette série d'opérations est déterminée par le module 44 de

- 16-285447.59 CA
commande et de surveillance conformément à une procédure associée à la fonction, stockée dans la mémoire 20.
Par ailleurs, le module 44 de commande et de surveillance est configuré pour mettre en oeuvre cette série d'opérations, en envoyant successivement aux équipements associés à
la fonction un signal de commande, en vue de commuter ces équipements dans l'état logique d'activation adapté à l'état fonctionnel d'activation sélectionné.
En outre, le module 44 de commande et de surveillance est propre à vérifier, après l'envoi de chaque commande à un équipement, que cette commande a été reçue et prise en compte par l'équipement. Dans certains cas, un état d'activation ou un mode sélectionné par un opérateur pour une première fonction est incompatible avec l'état d'activation ou le mode courant d'une deuxième fonction. Une telle incompatibilité peut par exemple se produire lorsque deux fonctions sont à activation exclusive, c'est-à-dire lorsque l'activation d'une fonction nécessite la désactivation d'une autre fonction.
Dans un tel cas, le module 44 de commande et de surveillance est propre à
détecter une telle incompatibilité, et à modifier l'état d'activation et/ou le mode de la deuxième fonction en conséquence en informant l'opérateur d'un tel effet dérivé.
A l'issue d'une modification de l'état d'activation et/ou du mode d'une fonction, le module 44 de commande et de surveillance est configuré pour vérifier l'état d'activation et le mode courants de cette fonction, et pour transmettre au module 30 d'affichage l'état d'activation et le mode courants de la fonction, en vue de la modification du premier attribut et/ou du deuxième de cette fonction sur l'écran 14.
Par ailleurs, lorsque le mode automatique est sélectionné pour une fonction, le module 44 de commande et de surveillance est propre à sélectionner de manière automatique l'état d'activation de cette fonction, conformément à des procédures prédéfinies.
En outre, lorsque le mode manuel est sélectionné pour une fonction, le module 44 de commande et de surveillance est configuré pour déterminer, en fonction de l'état courant du système et de ces procédures, une commande de modification de l'état d'activation de cette fonction devant être exécutée par l'opérateur, et pour commander l'affichage, par le module d'affichage, de l'objet de commande associé à cette commande selon une représentation spécifique, par exemple en surbrillance, afin d'inciter l'opérateur à modifier l'état d'activation de la fonction. La commande déterminée par le module 44 de commande et de surveillance est par exemple une commande qui serait sélectionnée par le module 44 de commande et de surveillance si la fonction était en mode automatique.

- 17-285447.59 CA
On a illustré sur la Figure 2, à titre d'exemple, un synoptique fonctionnel propre à être représenté par le module 30 d'affichage sur une fenêtre 50 de l'écran 14.
Le synoptique fonctionnel représenté sur la Figure 2 est relatif à un système de gestion de carburant.
Ce système est propre à mettre en oeuvre plusieurs fonctions distinctes, en particulier des fonctions de stockage ou de transformation d'énergie, et des fonctions de transfert d'énergie.
A cette fin, le système comprend plusieurs équipements, notamment un premier et un deuxième ensembles de réservoirs de carburant, chaque ensemble de réservoirs étant associé à une fonction de stockage de carburant.
Le système comprend par ailleurs un premier et un deuxième moteurs, chacun propre à être alimenté en carburant par au moins un des ensembles de réservoirs et pour transformer l'énergie fournie par ce ou ces ensembles de réservoirs en énergie mécanique.
Le système comprend par ailleurs plusieurs pompes, propres à transférer du carburant d'un ensemble de réservoirs donné vers l'autre ensemble de réservoirs ou vers un moteur ou plusieurs moteurs de l'aéronef.
Par exemple, le système comprend un premier ensemble de pompes configurées pour transférer du carburant depuis le premier ensemble de réservoirs vers un premier moteur de l'aéronef et/ou vers le deuxième ensemble de réservoirs, et un deuxième ensemble de pompes configurées pour transférer du carburant depuis le deuxième ensemble de réservoirs vers un deuxième moteur et/ou vers le premier ensemble de réservoirs.
Chaque ensemble de pompes comprend par exemple une première pompe et une deuxième pompe, qui peuvent être actionnées ensemble ou séparément.
Comme illustré sur la Figure 2, chaque fonction propre à être réalisée par le système est représentée sur le synoptique fonctionnel par un objet représentatif de cette fonction et de l'état d'activation courant de cette fonction.
Le synoptique fonctionnel illustré sur la Figure 2 comprend par ailleurs un bouton 90 actionnable entre une première position correspondant à un mode automatique dans lequel toutes les fonctions pouvant être dans un mode automatique sont dans ce mode, avec un état d'activation des fonctions qui ne peut être changé manuellement, et un mode manuel dans lequel l'état d'activation des fonctions peut être modifié par un opérateur. Sur la Figure 2, le mode manuel est sélectionné.

- 18-285447.59 CA
On distingue notamment les fonctions de transfert de carburant entre des équipements du système des fonctions d'utilisation ou de stockage de carburant.
En particulier, la fonction de stockage de carburant réalisée par le premier ensemble de réservoirs, respectivement par le deuxième ensemble de réservoirs, est représentée par un objet 100, respectivement 102, qui est par exemple de forme polygonale. Cet objet est partiellement coloré, la proportion colorée de l'objet étant représentative du niveau de remplissage de l'ensemble de réservoirs.
Est également représenté sur le synoptique fonctionnel un indicateur 103 de l'équilibrage de la masse de carburant entre les deux ensembles de réservoirs.
Cet indicateur 103, en forme de niveau à bulle, permet à un opérateur de visualiser un éventuel déséquilibre de la masse de carburant, et de commander en conséquence un transfert de carburant entre les ensembles de réservoirs de l'aéronef. Cet indicateur visualise une fonction d'équilibrage de la masse de carburant. Une fonction plus globale de gestion du centre de gravité pourrait aussi faire intervenir la masse et position des passagers, bagages, etc.
Par ailleurs, les fonctions de transformation d'énergie réalisées par les moteurs sont chacune représentée par un objet 104, 106.
Chaque fonction de transfert d'énergie, qui est dans cet exemple une fonction de transfert de carburant, est représentée par une flèche orientée dans un sens prédéterminé.
Cette flèche relie deux objets représentant une autre fonction ou un équipement, le sens de la flèche étant représentatif du sens du transfert de l'énergie.
Dans l'exemple illustré sur la Figure 2, six fonctions distinctes de transfert d'énergie sont représentées, sous la forme de six flèches.
Une première flèche 108 relie l'objet 100 représentatif de la fonction de stockage de carburant du premier ensemble de réservoirs à l'objet 104 représentatif de la fonction de transformation d'énergie par le premier moteur. La première flèche 108 est orientée vers l'objet 104.
De manière identique, une deuxième flèche 110 relie l'objet 102 représentatif de la fonction de stockage de carburant du deuxième ensemble de réservoirs à l'objet représentatif de la fonction de transformation d'énergie par le deuxième moteur. La deuxième flèche 110 est orientée vers l'objet 106.
La première flèche 108 et la deuxième flèche 110 symbolisent ainsi la fonction de transfert de carburant du premier ensemble de réservoirs vers le premier moteur et la

-19-285447.59 CA
fonction de transfert de carburant du deuxième ensemble de réservoirs vers le deuxième moteurs respectivement.
Une troisième flèche 112 et une quatrième flèche 114 relient la première flèche 108 à
la deuxième flèche 110, la troisième flèche 112 étant orientée vers la deuxième flèche 110 et la quatrième flèche 114 étant orientée vers la première flèche 108.
La troisième flèche 112 et la quatrième flèche 114 symbolisent la fonction de transfert de carburant du premier ensemble de réservoirs vers le deuxième moteur et la fonction de transfert de carburant du deuxième ensemble de réservoirs vers le premier moteur respectivement.
Une cinquième flèche 116 et une sixième flèche 118 relient entre eux les deux objet 100, 102 représentatifs de la fonction de stockage de carburant du premier et du deuxième ensembles de réservoirs, la cinquième flèche 116 étant orientée vers l'objet 102 et la sixième flèche 118 étant orientée vers l'objet 100.
La cinquième flèche 116 et la sixième flèche 118 symbolisent la fonction de transfert de carburant du premier ensemble de réservoirs vers le deuxième ensemble de réservoirs et la fonction de transfert de carburant du deuxième ensemble de réservoirs vers le premier ensemble de réservoirs respectivement.
Les différents objets représentatifs des fonctions réalisées par le système tel qu'illustrés sur la Figure 2 possèdent au moins un attribut indicatif de l'état d'activation courant, actif ou inactif, de la fonction associée, et de l'état de fonctionnement courant, normal ou dégradé, etc. de cette fonction.
De préférence, chacune des flèches 108, 110, 112, 114, 116 et 118, représentative d'une fonction de transfert d'énergie, possède au moins un premier attribut, indicatif de l'état d'activation courant de la fonction, au moins un deuxième attribut, indicatif du mode de la fonction, au moins un troisième attribut, indicatif de l'état de fonctionnement de la fonction, et au moins un quatrième attribut, indicatif du caractère contrôlable ou non contrôlable de la fonction.
Le premier attribut est par exemple une couleur de la flèche et/ou un type de tracé de la flèche, et/ou une indication alphanumérique affichée en regard de la flèche et dont le contenu et/ou le mode d'affichage dépend de l'état d'activation courant de la fonction.
Par exemple, la flèche est représentée par un trait discontinu mais non interrompu, notamment de couleur verte, lorsque la fonction est active. Selon cet exemple, lorsque la

- 20 -285447.59 CA
fonction de transfert d'énergie est inactive, la flèche est par exemple représentée par un trait interrompu, notamment de couleur grise.
Dans l'exemple illustré sur la Figure 2, les flèches 108 et 110 sont représentées par un trait en pointillés, ce qui signifie que le transfert de carburant depuis le premier ensemble de réservoirs vers le premier moteur est actif, et que le transfert de carburant depuis le deuxième ensemble de réservoirs vers le deuxième moteur est également actif.
En revanche, les flèches 112, 114, 116 et 118 sont représentées par un trait interrompu, ce qui signifie qu'aucun transfert de carburant entre les premier et deuxième ensembles de réservoirs, entre le premier ensemble de réservoirs et le deuxième moteur, ou entre le deuxième ensemble de réservoirs et le premier moteur, n'a lieu.
Par ailleurs, chaque flèche 108, 110, 112, 114, 116 et 118 est munie d'un symbole 120 de type connecteur, placé le long de la flèche. Chaque symbole 120 comprenant une première partie 120a, en forme de connecteur mâle, par exemple en forme de carré, et une deuxième partie 120b, en forme de connecteur femelle, par exemple en forme de crochet.
La position relative des première 120a et deuxième 120b parties d'un connecteur 120, est indicative de l'état d'activation de la fonction associée.
Notamment, lorsque la fonction est active, les première 120a et deuxième 120b parties du connecteur sont emboîtées, comme représenté sur les flèches 108 et 110.
Lorsque la fonction est inactive, les première 120a et deuxième 120b parties du connecteur 120 sont à l'écart l'une de l'autre, notamment en regard l'une de l'autre sur le trait interrompu de la flèche, comme représenté sur les flèches 112, 114, 116 et 118.
De préférence, la couleur d'un connecteur 120 est également indicative de l'état d'activation de la fonction associée et/ou du caractère contrôlable ou non contrôlable de cette fonction. Ainsi, le quatrième attribut, indicatif du caractère contrôlable ou non contrôlable d'une fonction, est par exemple formé par une couleur spécifique du connecteur 120.
Par exemple, lorsque la fonction est contrôlable et active, le connecteur 120 est de couleur verte, et lorsque la fonction est contrôlable et inactive, le connecteur 120 est de couleur grise. Lorsque la fonction est non contrôlable, qu'elle soit active ou inactive, le connecteur 120 est par exemple de couleur orange.
En outre, à chaque flèche 108, 110, 112, 114, 116 et 118 est associé au moins un indicateur alphanumérique, indicatif de l'état d'activation de la fonction et du mode de cette fonction.

- 21 -285447.59 CA
Par exemple, comme illustré sur la Figure 2, deux ou trois indicateurs alphanumériques sont disposés en regard de chaque flèche 108, 110, 112, 114, 116 et 118.
Un premier indicateur 124, par exemple OFF , est destiné à signaler un état inactif de la fonction en mode manuel, un deuxième indicateur 126, par exemple AUTO , est destiné à
signaler un mode automatique de la fonction, indépendamment de son état d'activation, et un troisième indicateur 128, par exemple ON est destiné à signaler un état actif de la fonction en mode manuel. Le premier, le deuxième et le troisième indicateurs sont disposés successivement de l'amont vers l'aval de la flèche.
De préférence, les trois indicateurs 124, 126 et 128 sont affichés de manière simultanée lorsque le mode automatique est sélectionné, et ce mode est signalé
en affichant l'indicateur 126 représentatif du mode automatique de la fonction en une couleur prédéterminée, par exemple en vert, les autres indicateurs 124, 128 étant affichés d'une autre couleur prédéterminée, par exemple en gris.
Par ailleurs, lorsque l'un des états actif ou non actif est sélectionné en mode manuel, seuls les deux indicateurs 124 et 128 peuvent être affichés, l'état d'activation courant de la fonction étant signalé en affichant l'indicateur 124 ou 128 représentatif de cet état d'activation en une couleur prédéterminée, par exemple en vert, l'autre indicateur 128 ou 124 étant affiché d'une autre couleur prédéterminée.
Ainsi, sur le schéma de la Figure 2, les fonctions représentées par les flèches 108, 110, 116 et 118 sont en mode automatique, tandis que les fonctions représentées par les flèches 112 et 114 sont en mode manuel, et dans un état d'activation inactif.
Par ailleurs, chaque flèche 108, 110, 112, 114, 116 et 118 comprend un objet 132 de commande de l'état d'activation courant de la fonction associée via le mode de cette fonction.
Cet objet 132 est déplaçable par un opérateur le long de la flèche associée entre une position d'inactivation de la fonction en mode manuel, une position de passage en mode automatique d'activation/inactivation, et une position d'activation de la fonction en mode manuel.
Dans la position d'inactivation en mode manuel, l'objet 132 est positionné en regard de l'indicateur 124 destiné à signaler un état d'activation inactif de la fonction.
Dans la position d'activation en mode manuel, l'objet 132 est positionné en regard de l'indicateur 128 destiné à signaler un état d'activation actif de la fonction.
Dans la position de passage en mode automatique, l'objet 132 est positionné en regard de l'indicateur 126 destiné à signaler une gestion automatique de l'état d'activation de la fonction.

- 22 -285447.59 CA
L'objet 132 de commande comprend par exemple en forme de carré entourant la première partie 120a du connecteur 120 associé à la fonction, comme illustré
sur la Figure 2.
L'objet 132 de commande est déplaçable entre les trois positions par un opérateur au moyen de l'interface homme machine 16, en particulier en déplaçant un organe de commande sur l'écran tactile 14 depuis la zone de cette écran affichant l'objet 132 de commande vers la position visée pour cet objet de commande.
Un tel déplacement de l'objet 132 de commande permet à un opérateur de sélectionner un état d'activation choisi de la fonction associée via l'un de ses modes disponibles.
Le troisième attribut est par exemple une couleur spécifique de la flèche et/ou une indication alphanumérique affichée en regard de la flèche et dont le contenu n'est affiché que lorsque l'état de fonctionnement de la fonction est dégradé, de secours ou perdu.
Notamment, dans une situation de fonctionnement normal, la couleur de la flèche est celle associée à l'état de fonctionnement normal de la fonction, c'est-à-dire verte ou grise suivant son état d'activation, et dans un état de fonctionnement dégradé, de secours ou perdu, la flèche est de couleur orange.
Par ailleurs, la fenêtre 50 affiche une icône de commande 150 actionnable par un opérateur, et dont l'actionnement permet d'afficher, en remplacement ou en addition du synoptique fonctionnel, un synoptique logique des équipements du système.
La fenêtre 50 affiche par ailleurs des icônes de commande 152 actionnables par un opérateur, et dont l'actionnement permet d'afficher un objet représentatif des états logiques d'activation et de fonctionnement de certains équipements du système, par exemple associés à une fonction particulière.
Un exemple de mise en oeuvre d'un procédé de commande d'équipements d'un système d'un aéronef au moyen du système 2 de commande et de surveillance va maintenant être décrit en référence à la Figure 3, qui est un schéma de la mise en uvre de ce procédé, et aux Figures 2 et 4, qui illustrent une fenêtre affichée sur l'écran 14 à
destination du pilote lors de la mise en uvre de ce procédé.
Cet exemple est décrit dans le cadre de la commande du système de stockage de carburant décrit en référence à la Figure 2.
Dans l'exemple de mise en oeuvre du procédé décrit, on considère un état initial 200 du système qui est celui illustré sur la Figure 2.

- 23 -285447.59 CA
Dans cet état initial, le module 30 d'affichage commande l'affichage, sur une fenêtre de l'écran 14, d'un synoptique fonctionnel représentatif de l'état d'activation des fonctions mises en uvre par le système, tel qu'illustré sur la Figure 2.
Dans cet état initial 200, seules les fonctions de transfert de carburant du premier et du deuxième ensemble de réservoirs vers le premier et le deuxième moteurs respectivement, représentées par les flèches 108 et 110, sont actives.
Les fonctions de transfert de carburant entre les deux ensembles de réservoirs, représentées par les flèches 116 et 118, sont dans le mode automatique avec un état d'activation inactives.
Les fonctions de transfert de carburant entre le premier ensemble de réservoirs et le deuxième moteur et entre le deuxième ensemble de réservoirs et le premier moteur, représentées par les flèches 112 et 114 respectivement, sont dans le mode manuel avec un état d'activation inactives.
Dans une étape 202, un opérateur sélectionne, par l'intermédiaire de l'interface homme machine 16, un état d'activation d'une des fonctions du système, en vue de modifier cet état d'activation. A cette fin, l'opérateur déplace l'objet 132 de commande de l'état d'activation de cette fonction de sa position courante vers la position choisie.
Par exemple, si, en dépit de la gestion automatique de l'équilibrage carburant, un déséquilibre des masses de carburant entre les premier et deuxième ensembles de réservoirs est constaté, un opérateur active en mode manuel la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le deuxième ensemble de réservoirs, en déplaçant l'objet 132 de commande associé à la flèche 116 de sa position courante, i.e. en regard de l'indicateur 126 du mode automatique, vers une position en regard de l'indicateur 128 de l'état d'activation actif.
Dans cet exemple, la modification de l'état d'activation sélectionnée correspond également à une modification du mode de la fonction, du mode automatique vers le mode manuel.
Lors d'une étape 204, le module 40 de configuration détecte cette action de sélection de l'état d'activation.
Dans l'exemple décrit d'activation de la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le deuxième ensemble de réservoirs, le module 40 de configuration détecte la modification de l'état d'activation de l'état inactif vers l'état actif, et la modification du mode automatique vers le mode manuel qui lui est associée.

- 24 -285447.59 CA
Puis, lors d'une étape 206, le module 44 de commande et de surveillance détermine, à partir de l'état fonctionnel d'activation sélectionné pour la fonction de transfert, un état logique d'activation de chacun des équipements du système associés à cette fonction, de telle sorte que, lorsque chacun de ces équipements est dans l'état logique d'activation déterminé par le module de commande, la fonction soit dans l'état fonctionnel d'activation sélectionné.
En particulier, lors de l'étape 206, le module 44 de commande et de surveillance détermine, à partir de l'état fonctionnel d'activation sélectionné et de l'état logique de fonctionnement courant des équipements du système associé à la fonction, une série d'opérations à mettre en uvre afin de commuter l'état d'activation de la fonction de son état d'activation courant à l'état d'activation sélectionné.
Cette série d'opérations est déterminée par le module 44 de commande et de surveillance conformément à une procédure associée à la fonction, stockée dans la mémoire 20.
Lors de l'étape 206, le module 44 de commande et de surveillance vérifie si l'état d'activation sélectionné pour la fonction est compatible avec l'état d'activation courant et/ou avec le mode courant des autres fonctions mises en oeuvre par le système.
Si une incompatibilité entre l'état d'activation sélectionné pour la fonction et l'état d'activation courant et/ou avec le mode courant d'une deuxième fonction est détectée, le module 44 de commande et de surveillance détecte cette incompatibilité.
Le module 44 de commande et de surveillance modifie l'état d'activation et/ou le mode de la deuxième fonction en conséquence, et informe le module 30 d'affichage de cet état d'activation modifié et/ou de ce mode modifié.
En réponse, le module 30 d'affichage déplace l'objet 132 de commande associé à
cette deuxième fonction de sa position courante vers une position en regard de l'indicateur 124, 126 ou 128 correspondant à l'état d'activation modifié et/ou au mode modifié.
Par exemple, pour activer la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le deuxième ensemble de réservoirs, le module 44 de commande et de surveillance détermine l'état logique de fonctionnement de chacune des pompes du premier ensemble de pompes permettant l'activation effective de cette fonction de transfert.
En outre, le module 44 de commande et de surveillance détecte que l'état d'activation actif de la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le

- 25 -285447.59 CA
deuxième ensemble de réservoirs implique nécessairement un état d'activation inactif de la fonction de transfert de carburant depuis le deuxième ensemble de réservoirs vers le premier ensemble de réservoirs.
En conséquence, le module 44 de commande et de surveillance sélectionne le mode manuel de cette fonction de transfert de carburant en conservant l'état d'activation inactif de cette fonction de transfert de carburant.
En outre, le module 44 de commande et de surveillance informe le module 30 d'affichage de ce mode modifié.
En réponse, le module 30 d'affichage déplace l'objet 132 de commande associé à
cette deuxième fonction de sa position courante, i.e. en regard de l'indicateur 126, vers une position en regard de l'indicateur 124 correspondant à un état d'activation inactif de la fonction en mode manuel, comme visible sur la Figure 4.
Lors d'une étape 208, le module 44 de commande et de surveillance met en uvre la série d'opérations déterminée lors de l'étape 206, en envoyant, à chacun des équipements, ou au moins aux équipements qui ne sont pas dans l'état logique d'activation déterminé, un signal de commande logique en vue de commuter ces équipements dans l'état logique d'activation déterminé.
Lors de l'étape 208, le module 44 de commande et de surveillance vérifie, après l'envoi de chaque signal de commande à un équipement, que cette commande a été
reçue et prise en compte par l'équipement, c'est-à-dire que l'état logique d'activation de cet équipement a bien été commuté dans l'état logique d'activation déterminé.
En outre, le module 44 de commande et de surveillance informe en temps réel le module 30 d'affichage de l'état logique d'activation des équipements associés à la fonction.
De préférence, le module 30 d'affichage affiche alors, pour chacun de ces équipements, un objet représentatif de l'état logique d'activation de cet équipement.
Notamment, pour activer la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le deuxième ensemble de réservoirs, le module 44 de commande et de surveillance envoie un signal de commande aux pompes du premier ensemble de pompes, ou au moins aux pompes de cet ensemble qui ne sont pas dans l'état logique d'activation déterminé lors de l'étape 206, en vue de commuter ces pompes dans l'état logique d'activation déterminé.

- 26 -285447.59 CA
Le module 44 de commande et de surveillance vérifie, après l'envoi de chaque signal de commande à une pompe, que l'état logique d'activation de cette pompe a bien été
commuté dans l'état logique d'activation déterminé.
Lors d'une étape 210, l'état logique d'activation des pompes du premier ensemble de pompes est alors affiché sur le synoptique fonctionnel par le module 30 d'affichage, comme illustré sur la Figure 4.
Notamment, sont affichées sur le synoptique fonctionnel de la Figure 4 deux ensembles d'icônes 220, 222, représentatives de deux pompes du premier ensemble de pompes. La couleur de ces icônes est représentative de l'état logique d'activation de ces pompes.
Puis, lors d'une étape 210, le module 44 de commande et de surveillance vérifie l'état d'activation de la fonction.
Si cet état fonctionnel d'activation est conforme à l'état fonctionnel d'activation sélectionné, le module 44 de commande et de surveillance transmet cette information au module 30 d'affichage. Le module 30 d'affichage modifie alors le premier attribut, indicatif de l'état d'activation de la fonction, sur le synoptique fonctionnel.
En particulier, comme illustré sur la Figure 4, le module 30 d'affichage représente la flèche 116 sous la forme d'un trait discontinu ininterrompu, affiche en gris l'indicateur 124 associé au mode manuel et à l'état d'activation inactif, et affiche en vert l'indicateur 128 associé à l'état d'activation actif en mode manuel de la fonction de transfert de carburant depuis le premier ensemble de réservoirs vers le deuxième ensemble de réservoirs.
Le système et le procédé de commande décrits permettent donc à un opérateur de commander directement les fonctions mises en oeuvre par un système, sans avoir à
commander individuellement chaque équipement intervenant dans la mise en oeuvre de ces fonctions.
Par ailleurs, la détermination automatique par le système de commande des états logiques d'activation des équipements d'un système adaptés à un état fonctionnel d'activation sélectionné d'une fonction permet de faciliter le travail de l'équipage. En particulier, cette détermination automatique permet d'éviter la consultation systématique de la procédure devant être mise en oeuvre pour le changement d'état fonctionnel d'activation souhaité, et permet également de minimiser le temps de formation nécessaire à
la prise en main du système par un opérateur. Sans forcément éviter la consultation systématique de la procédure, cette dernière est allégée ce qui réduit effectivement le temps de formation. Cette

- 27 -285447.59 CA
détermination automatique des commandes logiques permet également de minimiser le risque d'erreur.
En outre, la commande d'une fonction peut être réalisée par un opérateur en se référant uniquement à l'écran du dispositif d'affichage, ce qui facilite le travail de l'opérateur.
L'affichage sur le dispositif d'affichage d'un synoptique fonctionnel représentatif d'un système, et de l'état d'activation de chacune des fonctions mises en oeuvre par ce système permet par ailleurs à un opérateur d'avoir une conscience globale de la situation, en particulier du lien entre l'état logique d'activation des différents équipements du système et l'état fonctionnel d'activation des fonctions associée. En outre, en cas de panne d'un équipement, ce synoptique fonctionnel fournit à l'opérateur une indication précise des fonctions qui sont impactées par cette panne, ainsi que de l'impact de cette panne sur ces fonctions.
Il devra être compris que les exemples de réalisation présentés ci-dessus ne sont pas limitatifs.
En particulier, bien que l'invention ait été illustrée en référence à un système de gestion de carburant, l'invention peut être appliquée à la commande et à la surveillance d'autres types de systèmes de l'aéronef, notamment des systèmes de gestion d'énergie, par exemple un système électrique, un système de stockage de carburant, un système de propulsion....
En outre, selon une variante, l'interface homme machine comprend, en remplacement ou en sus du dispositif de commande tactile, un ou plusieurs organes de commande, par exemple une souris ou un joystick, et/ou un clavier...
Dans l'exemple de réalisation de l'invention, le module 30 d'affichage, le module 40 de configuration et le module 44 de commande et de surveillance sont réalisés sous forme de logiciels stockés dans la mémoire 20 et aptes à être exécutés par le processeur 18, associé à
la mémoire 20. En variante, le module 30 d'affichage, le module 40 de configuration et le module 44 de commande et de surveillance sont réalisés au moins partiellement sous forme de composants logiques programmables, ou encore sous forme de circuits intégrés dédiés, inclus dans le système 2 de commande et de surveillance.

- 28 -

Claims

REVENDICATIONS
Les réalisations de l'invention, pour lesquelles un droit exclusif de propriété ou de privilège est revendiqué, sont définies comme suit

1.- Système (2) de commande et de surveillance d'équipements d'un aéronef, chaque équipement étant apte à être commuté entre au moins deux valeurs d'état logique d'activation, ledit système (2) de commande et de surveillance comprenant :
- une interface homme machine (16), - un module (40) de configuration d'un état fonctionnel d'activation d'au moins une fonction propre à être réalisée par au moins deux équipements d'un système dudit aéronef, l'état fonctionnel d'activation de ladite fonction étant configurable entre au moins un état actif et un état inactif de ladite fonction, ledit module (40) de configuration étant adapté pour détecter une action de sélection d'un état fonctionnel d'activation de ladite fonction par un opérateur par l'intermédiaire de ladite interface homme machine (16), - un module (44) de commande et de surveillance, configuré pour déterminer, à partir de l'état fonctionnel d'activation de ladite fonction sélectionné, un état logique d'activation de chacun desdits au moins deux équipements dudit système, de telle sorte que, lorsque chacun desdits au moins deux équipements est dans l'état logique d'activation déterminé par ledit module (44) de commande et de surveillance, ladite fonction soit dans l'état fonctionnel d'activation sélectionné.

2.- Système (2) de commande et de surveillance selon la revendication 1, caractérisé
en ce que ledit module (44) de commande et de surveillance est configuré pour envoyer un signal de commande à chacun desdits au moins deux équipements dudit système en vue de commuter chacun desdits au moins deux équipements dans l'état logique d'activation déterminé.

3.- Système (2) de commande et de surveillance selon la revendication 1 ou 2, caractérisé en ce que ladite interface homme machine (16) comprend un dispositif d'affichage (12), et en ce que ledit système (2) de commande et de surveillance comprend en outre un module (30) d'affichage, configuré pour commander l'affichage, sur une fenêtre (50) dudit dispositif d'affichage (12), d'au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction.

4.- Système (2) de commande et de surveillance selon la revendication 3, caractérisé
en ce que ledit système (2) de commande et de surveillance est configuré pour réaliser une pluralité de fonctions, et en ce que ledit module (30) d'affichage est configuré pour commander l'affichage sur ladite fenêtre (50) dudit dispositif d'affichage (12), d'un synoptique fonctionnel dudit système, ledit synoptique fonctionnel comprenant, pour chacune de ladite pluralité de fonctions, au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction.

5.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 3 ou 4, caractérisé en ce que ledit dispositif d'affichage (12) comprend un écran tactile (14), et en ce que l'interface homme machine (16) est configurée pour détecter une position d'un objet de commande sur ledit écran tactile (14).

6.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 3 à 5, caractérisé en ce que ledit module (30) d'affichage est configuré pour commander l'affichage sur ladite fenêtre (50) dudit dispositif d'affichage (12) d'une icône (132) actionnable par un opérateur, ladite action de sélection d'un état fonctionnel d'activation de ladite fonction par un opérateur comprenant un actionnement de ladite icône (132).

7.- Système (2) de commande et de surveillance selon la revendication 6, caractérisé
en ce que le module (44) de commande et de surveillance est configuré pour déterminer, en fonction d'un état courant dudit système, une commande de modification de l'état d'activation de ladite fonction devant être exécutée par l'opérateur, et pour commander l'affichage, par ledit module (30) d'affichage, de ladite icône (132) selon une représentation spécifique, en vue d'inciter un opérateur à modifier l'état fonctionnel d'activation de ladite fonction.

8.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 3 à 7, caractérisé en ce que ledit module (44) de commande et de surveillance est configuré pour détecter une panne d'un équipement dudit système et pour déterminer, lorsque la panne est détectée, si ladite fonction est impactée par ladite panne, ledit module (30) d'affichage étant configuré pour afficher, sur ladite fenêtre (50), au moins un objet représentatif de ladite panne et de l'impact de ladite panne sur ladite fonction.

9.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 3 à 8, caractérisé en ce que le module (44) de commande et de surveillance est configuré pour déterminer un état de fonctionnement de ladite fonction, parmi un état de fonctionnement normal, dans lequel la fonction peut être réalisée de manière nominale, et un état de fonctionnement dégradé, dans lequel la fonction ne peut être réalisée de manière nominale, et en ce que ledit module (30) d'affichage est configuré pour commander l'affichage, sur la fenêtre (50) du dispositif d'affichage (12), d'au moins un objet représentatif de l'état de fonctionnement de ladite fonction déterminé par le module (44) de commande et de surveillance.

10.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 3 à 9, caractérisé en ce que le module (44) de commande et de surveillance est configuré pour déterminer si :
- ladite fonction est contrôlable, l'état d'activation de la fonction étant apte à être modifié de l'état actif à l'état inactif et de l'état inactif à l'état actif, ou - non contrôlable, l'état d'activation de la fonction ne pouvant être modifié de l'état actif à l'état inactif ou de l'état inactif à l'état actif, et en ce que ledit module (30) d'affichage est configuré pour commander l'affichage, sur la fenêtre (50) du dispositif d'affichage (12), d'au moins un objet représentatif du caractère contrôlable ou non contrôlable de ladite fonction déterminé par ledit module (44) de commande et de surveillance.

11.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 1 à 10, caractérisé en ce que ladite fonction est configurée pour fonctionner selon un mode manuel, dans lequel l'état fonctionnel d'activation de la fonction est sélectionnable par un opérateur, ou un mode automatique, dans lequel ledit module (44) de commande et de surveillance est propre à sélectionner l'état fonctionnel d'activation de la fonction de manière automatique, selon des critères prédéterminés.

12.- Système (2) de commande et de surveillance selon la revendication 11, caractérisé en ce que ledit module (40) de configuration est adapté pour détecter une action de sélection du mode de ladite fonction par un opérateur par l'intermédiaire de ladite interface homme machine (16).

13.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 1 à 12, caractérisé en ce que ladite fonction est une fonction de transfert d'énergie ou de fluide entre aux moins deux desdits équipements de l'aéronef.

14.- Système (2) de commande et de surveillance selon l'une quelconque des revendications 1 à 13, caractérisé en ce que ladite fonction est une fonction de transfert de carburant entre au moins deux des équipements de l'aéronef, lesdits au moins deux équipements du système comprenant au moins une pompe adaptée pour transférer du carburant entre lesdits au moins deux équipements de l'aéronef.

15.- Procédé de commande et de surveillance d'équipements d'un aéronef, chaque équipement étant apte à être commuté entre au moins deux valeurs d'état logique d'activation, ledit procédé de commande et de surveillance comprenant les étapes successives suivantes :
- sélection (202), par un opérateur, par l'intermédiaire d'une interface homme machine (16), d'un état fonctionnel d'activation d'une fonction propre à être réalisée par au moins deux équipements d'un système dudit aéronef, l'état fonctionnel d'activation de ladite fonction étant configurable entre au moins un état actif et un état inactif de ladite fonction, - détection (204) de la sélection dudit état fonctionnel d'activation, - détermination (206), à partir de l'état fonctionnel d'activation de ladite fonction sélectionné, d'un état logique d'activation de chacun desdits au moins deux équipements dudit système, de telle sorte que, lorsque chacun desdits au moins deux équipements est dans l'état logique d'activation déterminé, ladite fonction soit dans l'état fonctionnel d'activation sélectionné.

16.- Procédé de commande et de surveillance selon la revendication 15, caractérisé
en ce que ledit procédé comprend en outre une étape (208) d'émission d'un signal de commande à destination de chacun desdits au moins deux équipements dudit système en vue de commuter chacun desdits au moins deux équipements dans l'état logique d'activation déterminé lors de l'étape (206) de détermination.

17.- Procédé de commande et de surveillance selon la revendication 15 ou 16, caractérisé en ce qu'il comprend en outre une étape (200, 210) d'affichage, sur une fenêtre (50) d'un dispositif d'affichage (12), d'au moins un objet représentatif de l'état fonctionnel d'activation courant de ladite fonction.

18.- Procédé de commande et de surveillance selon la revendication 17, caractérisé
en ce qu'il comprend en outre une étape d'affichage, sur ladite fenêtre (50) du dispositif d'affichage (12), d'au moins un objet représentatif de l'état logique de chacun desdits au moins deux équipements dudit système et/ou d'un état de fonctionnement de chacun desdits au moins deux équipements dudit système.

19.- Procédé de commande et de surveillance selon l'une quelconque des revendications 17 ou 18, caractérisé en ce qu'il comprend en outre :

- une étape de détermination d'un état de fonctionnement de ladite fonction, parmi un état de fonctionnement normal, dans lequel la fonction peut être réalisée de manière nominale, et un état de fonctionnement dégradé, dans lequel la fonction ne peut être réalisée de manière nominale, et - une étape d'affichage, sur la fenêtre (50) du dispositif d'affichage (12), d'au moins un objet représentatif de l'état de fonctionnement de ladite fonction.

20.- Procédé de commande et de surveillance selon l'une quelconque des revendications 17 à 19, caractérisé en ce qu'il comprend en outre :
- une étape de détermination du caractère contrôlable ou non contrôlable de ladite fonction, l'état d'activation de la fonction étant apte à être modifié de l'état actif à l'état inactif et de l'état inactif à l'état actif si ladite fonction est contrôlable, et l'état d'activation de la fonction ne pouvant être modifié de l'état actif à l'état inactif ou de l'état inactif à l'état actif si la fonction est non contrôlable, et - une étape d'affichage, sur la fenêtre (50) du dispositif d'affichage (12), d'au moins un objet représentatif du caractère contrôlable ou non contrôlable de ladite fonction.