PDRA/SORA : pourquoi une définition imprécise des liaisons C2 et C3 fragilise-t-elle un dossier ?

C2, C3 et portée : ce qu’un dossier PDRA/SORA doit réellement démontrer.

Une liaison ne se résume pas à la distance à laquelle un signal peut encore être reçu. Dans un dossier réglementaire, sa portée doit être reliée à une architecture, à des performances, à un environnement et à des preuves.

Dans les dossiers que j’accompagne, peu de malentendus sont aussi fréquents que ceux qui entourent les liaisons C2 et C3. Deux confusions s’y superposent souvent.

La première consiste à employer les termes C2 et C3 comme s’ils désignaient exactement la même chose. La seconde, plus discrète, réduit ces notions à une question de distance, en les ramenant à la portée radio ou à une valeur annoncée par le constructeur.

Ces raccourcis peuvent conduire à décrire une architecture qui ne correspond pas à celle réellement utilisée. Ils peuvent également amener l’exploitant à présenter un chiffre là où l’analyse attend un raisonnement, des conditions d’emploi et des éléments de preuve.

Je voudrais donc reprendre ces notions telles qu’elles sont utilisées dans le PDRA-G03 et dans la SORA 2.5, puis montrer pourquoi la question réglementaire n’est pas seulement « jusqu’où mon drone peut-il voler ? », mais plutôt « jusqu’où puis-je démontrer que les liaisons nécessaires à la sécurité conservent les performances requises pour mon exploitation ? ».

Ce que désignent réellement les liaisons C2 et C3.

La liaison C2, pour « command and control », est le lien de données entre l’aéronef sans équipage et son unité de commande, utilisé pour la gestion du vol.

Selon l’architecture du système, elle achemine notamment les commandes adressées à l’aéronef et les informations de retour nécessaires à sa surveillance, qu’il s’agisse de la télémétrie, des états de fonctionnement, des alertes ou d’autres données utiles au télépilote.

Elle ne doit donc pas être comprise comme la simple présence d’un signal radio. Elle constitue l’un des moyens par lesquels le télépilote conserve la maîtrise du vol et dispose des informations nécessaires pour prendre une décision.

Une connexion peut encore exister sans que ses performances soient suffisantes. Le signal peut devenir instable, les données peuvent arriver de manière intermittente, la latence peut augmenter ou certaines informations ne plus être disponibles avec la continuité attendue.

La question n’est donc pas seulement de savoir si le drone répond encore. Elle consiste à déterminer si la liaison permet toujours de conduire l’opération avec le niveau de sécurité requis.

La SORA 2.5 emploie, dans le cadre de l’objectif de sécurité opérationnelle OSO n° 6, une notion plus large, celle de liaison C3. Pour cet OSO, le terme englobe la liaison C2 et toute autre liaison de communication nécessaire à la sécurité du vol.

Une communication entre le télépilote et un observateur de l’espace aérien peut ainsi entrer dans le périmètre C3 lorsqu’elle conditionne la capacité à détecter un conflit et à réagir. Il peut en être de même pour une liaison avec un service extérieur, une infrastructure de communication ou un autre acteur opérationnel lorsque le vol dépend de cette communication.

La C2 désigne donc un lien précisément identifié entre l’aéronef et l’unité de commande. La C3 constitue, dans la SORA, un périmètre fonctionnel plus large, qui comprend la C2 et les autres communications nécessaires à la sécurité de l’opération.

Cette distinction modifie la manière de construire le dossier.

L’exploitant qui écrit « C3 » mais ne décrit que la transmission entre l’unité de commande et l’aéronef laisse peut-être dans l’ombre d’autres communications dont son opération dépend. À l’inverse, celui qui traite l’ensemble de ses communications comme une seule liaison risque de ne pas distinguer leurs fonctions, leurs technologies, leurs performances et leurs modes de défaillance.

L’enjeu n’est pas de choisir le mot qui paraît le plus technique. Il est de représenter fidèlement l’architecture utilisée et d’identifier toutes les communications dont la dégradation pourrait affecter la sécurité du vol.

Le PDRA-G03 ne fixe pas une distance universelle.

Le PDRA-G03 prévoit que, pendant le vol, la limite de portée doit rester à l’intérieur de la couverture directe de la liaison C2 assurant la conduite sûre du vol. Il ne fixe pas une valeur générale exprimée en kilomètres.

Le guide DSAC consacré à la catégorie spécifique présente lui aussi le PDRA-G03 comme une exploitation dont la distance est limitée par la portée directe du lien C2.

Cette absence de distance universelle n’est pas une imprécision. Elle traduit le fait qu’une portée ne peut pas être dissociée de la configuration dans laquelle elle est obtenue.

Deux exploitants utilisant le même modèle d’aéronef et la même unité de commande peuvent ainsi retenir des limites différentes sans que l’un d’eux se trompe nécessairement. La position des antennes, leur orientation, la hauteur de l’aéronef, le relief, les bâtiments, la végétation, les infrastructures métalliques, l’environnement électromagnétique ou encore les conditions météorologiques peuvent modifier les performances de la liaison.

Pour comprendre cette logique, je trouve utile de distinguer quatre réalités souvent regroupées sous le même mot.

Cette distinction ne constitue pas une classification réglementaire. Elle permet simplement de séparer plusieurs notions que le terme « portée » tend à confondre.

La portée constructeur est la valeur annoncée par le fabricant pour une configuration et des conditions qu’il définit. Elle apporte une information sur le produit, mais ne décrit pas nécessairement les conditions réelles de l’exploitation.

La portée radio correspond à la distance à laquelle une liaison physique peut encore être établie ou maintenue dans une configuration donnée. Elle dépend du matériel, du spectre utilisé, de la puissance autorisée, des antennes, de la propagation et de l’environnement.

La portée théorique résulte d’un calcul ou d’une modélisation. Elle peut s’appuyer sur un bilan de liaison intégrant les puissances, les gains, les pertes, la sensibilité des récepteurs et une marge estimée. Elle constitue un outil d’analyse, mais demeure tributaire de la validité des hypothèses retenues.

La portée opérationnelle démontrée est la limite que l’exploitant peut effectivement utiliser dans son concept d’opération. Elle tient compte des performances nécessaires au vol, des conditions raisonnablement prévisibles, des procédures, de la surveillance disponible et des marges conservées avant que la liaison ne devienne insuffisante.

Ces quatre valeurs peuvent être très différentes.

Une portée constructeur de vingt kilomètres ne signifie pas que l’exploitation peut être menée jusqu’à vingt kilomètres. Une portée radio constatée lors d’un essai favorable ne prouve pas qu’elle sera conservée derrière un obstacle ou dans un environnement plus chargé. Un calcul théorique ne remplace pas nécessairement les essais lorsqu’il ne permet pas de représenter tous les phénomènes rencontrés sur le terrain.

La distance retenue dans le dossier doit donc résulter de l’analyse. Elle ne devrait pas être choisie d’abord pour être justifiée a posteriori.

Les affirmations courantes et ce qu’elles établissent réellement.

« Mon constructeur annonce vingt kilomètres. »

Cette donnée peut être pertinente pour commencer l’étude. Elle ne constitue cependant pas, à elle seule, une preuve de la portée opérationnelle.

Il faut d’abord comprendre ce que couvre la valeur annoncée. Correspond-elle à la liaison de commande, au retour vidéo ou à l’ensemble du système ? Dans quelle bande de fréquences a-t-elle été obtenue ? Avec quelle puissance, quelles antennes, quelle hauteur et quel environnement ? La configuration commercialisée et utilisée en Europe est-elle identique à celle retenue pour établir cette valeur ?

Le chiffre du fabricant appartient à la documentation du produit. La distance retenue appartient au concept d’opération de l’exploitant. Le passage de l’un à l’autre doit être expliqué.

« Je vole toujours à moins d’un kilomètre. »

Cette limitation peut paraître prudente, notamment lorsque le constructeur annonce une portée très supérieure. Mais une distance courte n’est pas automatiquement une distance démontrée.

Un kilomètre en terrain dégagé, avec une unité de commande placée en hauteur et une ligne radio libre, ne présente pas les mêmes conditions qu’un kilomètre le long d’une infrastructure encaissée, derrière des bâtiments ou à proximité d’équipements produisant des perturbations électromagnétiques.

La valeur ne devient pertinente que lorsqu’elle est mise en relation avec le terrain, la hauteur de vol, la position du télépilote ou de l’unité de commande, les masques possibles et les seuils de dégradation retenus.

Une distance peut paraître faible au regard de la documentation commerciale et rester inadaptée à une configuration opérationnelle particulière.

« Je n’ai jamais perdu la liaison. »

Cette affirmation traduit une expérience favorable. Elle ne précise toutefois ni le nombre de vols concernés, ni les distances atteintes, ni les environnements traversés, ni les conditions rencontrées.

L’absence de perte totale ne signifie pas non plus qu’aucune dégradation n’est apparue. Une diminution du niveau de signal, une variation de la latence, une interruption temporaire de télémétrie ou une alerte ponctuelle peuvent constituer des informations importantes, même lorsque le contrôle a finalement été conservé.

L’expérience opérationnelle devient un élément de preuve lorsqu’elle est documentée et analysée. Les journaux de vol, les données de télémétrie, les niveaux de signal, les alertes, les pertes de paquets, les changements de mode de transmission et les comptes rendus d’essais permettent de transformer une impression en information vérifiable.

Dire que l’on n’a jamais perdu la liaison exprime une confiance. Montrer dans quelles conditions elle a été utilisée, quels résultats ont été enregistrés et quelle marge a été conservée commence à constituer une démonstration.

Une distance ne se déclare pas seulement, elle se justifie.

Dans le PDRA-G03, le respect de la limite liée à la couverture C2 relève de l’auto-déclaration.

Cette qualification ne signifie pas que la distance peut être affirmée sans fondement. L’exploitant déclare sa conformité et doit pouvoir rattacher cette déclaration à son manuel d’exploitation, à ses procédures et aux éléments sur lesquels repose la limite retenue.

Dans la SORA 2.5, l’OSO n° 6 demande d’identifier les performances nécessaires des liaisons C3, leurs performances réelles, l’utilisation du spectre et les conditions environnementales susceptibles de les affecter.

Parmi les paramètres à examiner figurent notamment le délai d’expiration d’une transaction, la disponibilité, la continuité et l’intégrité. L’exploitant doit également prévoir des procédures permettant au télépilote de surveiller les performances pertinentes pendant le vol.

Pour un faible niveau d’intégrité, cette surveillance peut notamment reposer sur l’observation du niveau du signal C2 et sur une alerte lorsque celui-ci devient insuffisant.

La démonstration commence donc par la description de l’architecture.

Il faut identifier les équipements utilisés, les liaisons présentes, leurs fonctions respectives, les fréquences ou réseaux mobilisés et les informations effectivement disponibles pour le télépilote.

Elle se poursuit par la définition des performances nécessaires. Une liaison ne doit pas être seulement disponible. Elle doit permettre l’exécution des commandes et la réception des informations dans des délais compatibles avec le comportement de l’aéronef, la vitesse du vol, les procédures de contingence et le temps de réaction de l’équipage.

Les essais doivent ensuite être représentatifs de l’exploitation. Ils devraient être réalisés avec une configuration identique à celle décrite dans le dossier : même aéronef, même unité de commande, mêmes antennes, mêmes versions logicielles, même puissance d’émission et implantation comparable.

L’objectif n’est pas nécessairement de provoquer une perte totale de liaison. Il est d’observer la manière dont ses performances évoluent, d’identifier les premiers signes de dégradation et de vérifier que le télépilote dispose d’une information suffisamment précoce pour agir.

Lorsque la distance entre l’émetteur ou le récepteur C2 et l’aéronef constitue un facteur critique, la SORA 2.5 indique que la portée maximale admissible doit être démontrée dans les conditions les plus défavorables parmi celles qui peuvent raisonnablement être rencontrées au cours de l’exploitation.

La limite opérationnelle ne devrait donc pas être placée au point exact où le signal disparaît. Elle doit conserver une marge par rapport aux premières dégradations incompatibles avec les besoins du vol.

Cette marge ne peut pas être fixée par un pourcentage universel. Elle dépend de la variabilité des essais, de la prévisibilité de la propagation, du comportement de l’aéronef en cas de perte, de la disponibilité d’une liaison de secours et des conséquences d’une interruption.

La démonstration doit enfin rester cohérente avec les procédures de contingence et d’urgence. Une portée ne peut pas être examinée indépendamment du comportement prévu lorsque la liaison se dégrade ou disparaît.

Il faut expliquer comment la dégradation est détectée, quel seuil déclenche une action, quelle décision doit prendre le télépilote et ce que fait l’aéronef en cas de perte complète.

Le PDRA-G03 prévoit que l’UAS dispose d’une méthode fiable et prévisible permettant de rétablir la liaison C2 ou de terminer le vol en réduisant les effets indésirables sur les tiers en l’air ou au sol.

L’autorité doit ainsi pouvoir suivre une chaîne de raisonnement cohérente. L’exploitation dépend de certaines liaisons. Ces liaisons doivent présenter certaines performances. Leurs limites ont été étudiées dans des conditions représentatives. Une marge a été définie. Des moyens de surveillance et des procédures permettent d’agir avant que la sécurité ne soit compromise.

Dans mon retour d’expérience, les dossiers se fragilisent rarement parce que l’exploitant a retenu une distance insuffisamment ambitieuse. Ils se fragilisent lorsque cette distance apparaît isolée, sans lien explicite avec la configuration, les conditions d’emploi, les résultats obtenus et les procédures prévues.

La portée constructeur appartient au produit, la portée radio à une configuration technique, la portée théorique à un modèle et à ses hypothèses.

La portée C2, elle, n’est pas une caractéristique du drone, mais une caractéristique démontrée de l’exploitation.

Thierry Mohr