BR102013015403B1

BR102013015403B1 - Processo de confiabilidade de dados em um computador, computador próprio para fornecer um dado de saída, conjunto de comunicação que comporta tal computador, e sistema de gestão ferroviária que compreende tal conjunto

Info

Publication number: BR102013015403B1
Application number: BR102013015403-2A
Authority: BR
Inventors: Xavier Gallois; Guillaume Vibert
Original assignee: Alstom Transport Technologies
Priority date: 2012-06-19
Filing date: 2013-06-18
Publication date: 2021-07-20
Also published as: US9087217B2; FR2992083B1; FR2992083A1; KR20130142960A; CN103577760B; BR102013015403A8; CA2819517A1; EP2677454B1; EP2677454A1; CN103577760A; ES2585111T3; KR102147750B1; BR102013015403A2; CA2819517C; US20130339755A1

Abstract

calculadora, conjunto de comunicação que comporta tal calculadora, sistema de gestão ferroviária que comporta tal conjunto, e método de confiabilidade de dados em uma calculadora. trata-se de método de confiabilidade de dados em uma calculadora (6), sendo que a calculadora (6) é própria para fornecer um dado de salda (ds) a partir de um dado de entrada (de), e que comporta pelo menos dois módulos (12a, 12b) de tratamento de dados, e um membro de cálculo (14) ligado a cada módulo de tratamento (12a, 12b) que compreende uma etapa de cálculo, por cada módulo de tratamento (12a, 12b), de um dado intermediário (dia, dib) a partir do dado de entrada (de). o método compreende as etapas a seguir: - calcular, através de cada módulo de tratamento (12a, 12b), um código de segurança intermediário (csia, csib) a partir do dado intermediário (dia, dib) correspondente, - transmitir ao membro de cálculo (14), através de cada módulo de tratamento (12a, 12b), o código de segurança intermediário (csia, csib) e o dado intermediário (dia, dib), - calcular, através do membro de cálculo (14), um código de segurança (cs) a partir dos códigos de segurança intermediários (csia, csib), - selecionar, através do membro de cálculo (14), um dado intermediário entre os dados intermediários (dia, dib) recebidos, em que o dado de saída (ds) da calculadora (6) compreende o dado intermediário selecionado, e - transmitir para o destino de um dispositivo de recepção (8), através do membro de cálculo (14), o código de segurança (cs) e o dado de saída (ds).

Description

[0001] A presente invenção refere-se a um processo de confiabilidade de dados em um computador, sendo que o computador é próprio para fornecer um dado de saída a partir de um dado de entrada, e que comporta pelo menos dois módulos de tratamento de dados, e um membro de computação ligado a cada módulo de tratamento, em que o processo compreende uma etapa de computação, através de cada módulo de tratamento, de um dado intermediário a partir do dado de entrada, em que a dita computação consiste na aplicação de uma função de computação no dado de entrada, sendo que a função de computação é idêntica para todos os módulos de tratamento.

[0002] A presente invenção refere-se, igualmente, a um computador, próprio para fornecer um dado de saída a partir de um dado de entrada, que comporta: - pelo menos dois módulos de tratamento de dados, em que cada módulo de tratamento comporta primeiros meios de computação de um dado intermediário a partir do dado de entrada, sendo que os ditos primeiros meios de computação são próprios para aplicar uma função de computação no dado de entrada, sendo que a função de computação é idêntica para todos os módulos de tratamento, - um membro de computação ligado a cada módulo de tratamento.

[0003] A presente invenção refere-se igualmente a um conjunto de comunicação que compreende tal computador.

[0004] A presente invenção refere-se igualmente a um sistema de gestão ferroviária que compreende tal conjunto de comunicação.

[0005] É conhecido um computador do tipo citado anteriormente. Tal computador é próprio para tratar dados e/ou informações que circulam em uma rede de comunicação e é geralmente utilizado em um sistema de comunicação securitário, por exemplo, um sistema de gestão ferroviária. A fim de garantir as funções críticas de segurança necessárias para o sistema de gestão ferroviária, a probabilidade de aparição de um dado errôneo e não detectável na saída de tal computador deve ser reduzida ao máximo. A norma de segurança ferroviária europeia EN 50 128 impõe, por exemplo, que os equipamentos relativos à segurança de trens sejam concebidos de maneira que sua probabilidade de defeito sob demanda seja compreendida entre 10-9 e 10-7. Uma técnica conhecida por garantir a segurança é denominada “segurança composta” e consiste em fazer realizar os mesmos tratamentos para diversos módulos de tratamento de dados de um mesmo computador, depois de prosseguir para um “voto majoritário”. Para esse fim, cada módulo computa um dado de saída a partir de um mesmo dado de entrada. Além disso, tal computador comporta geralmente meios de arbitragem aptos para garantir a função de “voto majoritário” entre os dados de saída computados.

[0006] Os meios de arbitragem de tal computador comportam, todavia, no mínimo uma camada material, talvez completada com uma camada de software. Ou o defeito de tal camada material é suscetível de levar a uma falha de segurança que pode conduzir a incidentes críticos para o sistema de comunicação securitário.

[0007] Um objetivo da invenção é, portanto, propor um processo de confiabilidade de dados em um computador que permite se destacar da utilização de meios materiais dedicados para garantir a função de voto majoritário do computador.

[0008] Para esse fim, a invenção tem como objetivo um processo de confiabilidade de dados em um computador do tipo citado anteriormente, caracterizado pelo fato de que compreende as etapas a seguir: - computar, através de cada módulo de tratamento, um código de segurança intermediário a partir do dado intermediário correspondente, - transmitir para o membro de computação, através de cada módulo de tratamento, o código de segurança intermediário e o dado intermediário, - computar, através do membro de computação, um código de segurança a partir dos códigos de segurança intermediários, - selecionar, através do membro de computação, um dado intermediário entre os dados intermediários recebidos, em que o dado de saída do computador compreende o dado intermediário selecionado, e - transmitir para o destino de um dispositivo de recepção, através do membro de computação, o código de segurança e o dado de saída.

[0009] Conforme outros aspectos vantajosos da invenção, o processo compreende uma ou mais das seguintes características, tidas isoladamente ou conforme todas as combinações tecnicamente possíveis: - cada módulo de tratamento comporta primeiros meios de memorização de pelo menos uma variável de codificação e de uma função de codificação, sendo que a função de codificação é idêntica para todos os módulos de tratamento, e no momento da etapa de computação de um código de segurança intermediário a partir do dado intermediário correspondente, a dita computação consiste em aplicar, através de cada módulo de tratamento, a função de codificação pelo menos para o dado intermediário e para a variável de codificação; - o membro de computação comporta segundos meios de memorização de pelo menos uma constante de decodificação e uma função de consolidação, e no momento da etapa de computação de um código de segurança a partir dos códigos de segurança intermediários, a dita computação consiste em aplicar, através do membro de computação, a função de consolidação para cada código de segurança intermediário recebido e para a constante de decodificação; - o processo comporta, adicionalmente, entre a etapa de computação de um dado intermediário e a etapa de computação de um código de segurança intermediário, uma etapa de transmissão, através de cada módulo de tratamento, do valor de seu dado intermediário para os outros módulos de tratamento e uma etapa de teste, através de cada módulo de tratamento, da existência de um valor majoritário entre o conjunto de valores dos dados intermediários, sendo que o valor majoritário é o valor mais frequente entre os valores de dados intermediários, caso esse valor exista; - se o teste de existência de um valor majoritário for negativo no momento da etapa de teste correspondente, o processo comporta uma etapa de supressão para um dos módulos de tratamento de sua variável de codificação; - o processo comporta adicionalmente, antes da etapa de computação de um código de segurança intermediário, uma etapa de reinicialização, através de cada módulo de tratamento, de sua variável de codificação, sendo que a etapa de reinicialização é realizada de maneira sincronizada entre todos os módulos de tratamento; - o dado de saída é o dado intermediário selecionado através do membro de computação no momento da etapa de seleção; - o processo comporta adicionalmente uma etapa de recepção, através do dispositivo de recepção, do código de segurança e do dado de saída e uma etapa de verificação, através do dispositivo de recepção, da coerência entre o código de segurança e o dado de saída.

[0010] A invenção tem igualmente como objetivo um computador do tipo citado anteriormente, caracterizado pelo fato de que os primeiros meios de computação são adicionalmente próprios para computar um código de segurança intermediário a partir do dado intermediário correspondente, sendo que cada módulo de tratamento é próprio para transmitir para o membro de computação o código de segurança intermediário e o dado intermediário correspondente, e que o membro de computação comporta segundos meios de computação de um código de segurança a partir dos códigos de segurança intermediários, sendo que o membro de computação é próprio para selecionar um dado intermediário entre os dados intermediários recebidos e para transmitir o código de segurança e o dado de saída para um dispositivo de recepção, em que o dado de saída compreende o dado intermediário selecionado.

[0011] A invenção tem igualmente como objetivo um conjunto de comunicação que compreende um computador e um dispositivo de recepção de dados, sendo que o computador é próprio para fornecer um código de segurança e um dado, em que o dispositivo de recepção comporta meios de memorização de um algoritmo de controle, sendo que o dispositivo de recepção é próprio para receber o código de segurança e o dado de saída, e para verificar, mediante a implantação do algoritmo de controle, a coerência entre o código de segurança e o dado de saída, caracterizada pelo fato de que o computador é conforme definido acima.

[0012] A invenção tem igualmente como objetivo um sistema de gestão ferroviária caracterizado pelo fato de que compreende pelo menos um conjunto de comunicação conforme definido acima.

[0013] Essas características e vantagens da invenção serão claras com a leitura da descrição que segue, fornecida exclusivamente a título de exemplo não limitante, e feita em referência aos desenhos anexos, nos quais: - a Figura 1 é uma representação esquemática de um sistema de gestão ferroviária que compreende um computador de acordo com a invenção, em que o computador comporta dois módulos de tratamento de dados; - a Figura 2 é uma representação esquemática de um dos módulos de tratamento de dados do computador da Figura 1; e - a Figura 3 é um organograma que representa um processo de confiabilidade de dados de acordo com a invenção, implantado pelo computador da Figura 1.

[0014] Na presente descrição, serão denominados “dados de segurança” os dados lógicos ou informações que circulam em uma rede de comunicação. A rede de comunicação é tipicamente uma rede não segura, e cada dado de segurança circula na rede acompanhado por um código de segurança. Um dado de segurança emitido na rede por um dispositivo de emissão é aceito por um dispositivo de recepção exclusivamente se o dispositivo de recepção determina, por meio de um algoritmo de controle predeterminado, que o dado de segurança emitido e o código de segurança que o acompanha são coerentes.

[0015] A Figura 1 representa um sistema de gestão ferroviária 1 que compreende um conjunto de comunicação 2. O sistema de gestão ferroviária 1 é, por exemplo, implantado em uma estação ferroviária. O mesmo é, por exemplo, próprio para determinar e fazer circular ordens de comando para o destino de trens, ou para o destino de sistemas de segurança de vias, como desvios.

[0016] O conjunto 2 compreende um computador 6 e um dispositivo 8 de recepção de dados, ligado ao computador 6 por meio de uma ligação de dados 10.

[0017] O computador 6 comporta meios 11 de recepção de dados, um primeiro módulo 12A de tratamento de dados e um segundo módulo 12B de tratamento de dados, sendo que cada módulo de tratamento 12A, 12B é ligado aos meios de recepção 11. O computador 6 comporta adicionalmente um membro de computação 14, ligado a cada módulo de tratamento 12A, 12B, e meios 18 de emissão de dados para o destino do dispositivo de recepção 8, sendo que os ditos meios de emissão 18 são ligados ao membro 14.

[0018] O computador 6 é um computador de segurança, fixado de modo permanente no seio do sistema de gestão ferroviária 1. O computador 6 é próprio para realizar computações sobre os dados de segurança que circulam em uma rede de comunicação do sistema de gestão ferroviária 1. O computador 6 é particularmente mais própria para fornecer para o dispositivo de recepção 8 um dado de saída Ds, a partir de um dado de entrada De, emitido de um dispositivo de comunicação, como outro computador. No exemplo de realização descrito, os dados de entrada De e de saída Ds são variáveis formadas por uma combinação de bits, por exemplo, uma combinação de dezesseis bits.

[0019] O dispositivo de recepção 8 comporta uma memória de armazenamento de um algoritmo de controle, não representado. O dispositivo de recepção 8 é, por exemplo, um computador de segurança. O mesmo é próprio para receber um código de segurança CS e o dado de saída Ds e para verificar, mediante a implantação do algoritmo de controle, a coerência entre o código de segurança CS e o dado de saída Ds.

[0020] A ligação de dados 10 é, por exemplo, uma ligação radioelétrica conforme a norma IEEE-802-11, geralmente denominada ligação Wi-FiTM.

[0021] Os meios de recepção 11 são próprios para receber o dado de entrada De e para entregar esse dado de entrada De na entrada de cada módulo de tratamento 12A, 12B.

[0022] O primeiro módulo de tratamento 12A e o segundo módulo de tratamento 12B apresentam, cada um, a mesma estrutura. A seguir, apenas a estrutura do primeiro módulo de tratamento 12A será, portanto, descrita.

[0023] Conforme ilustrado na Figura 2, o primeiro módulo de tratamento 12A comporta primeiros meios de memorização 20A, primeiros meios de computação 22A, ligados aos meios de memorização 20A, e meios de comunicação 24A, ligados aos primeiros meios de computação 22A. O primeiro módulo de tratamento 12A comporta adicionalmente meios de apagamento 26A, ligados aos primeiros meios de memorização 20A, e meios de sincronização 28A, ligados aos meios de comunicação 24A.

[0024] O primeiro módulo de tratamento 12A comporta igualmente meios de modificação 30A, ligados aos primeiros meios de memorização 20A e aos meios de sincronização 28A.

[0025] No exemplo de realização, os primeiros meios de memorização 20A são formados a partir de uma memória flash, conhecida por si mesma. Como alternativa, os primeiros meios de memorização 20A são formados a partir de uma memória não volátil regravável. Ainda como alternativa, os primeiros meios de memorização 20A são formados a partir de uma memória volátil regravável.

[0026] Os primeiros meios de memorização 20A são próprios para armazenar uma variável de codificação VCA, própria para o primeiro módulo 12A. No exemplo de realização, a variável de codificação VCA é formada a partir de uma combinação de dezesseis bits. Os primeiros meios de memorização 20A são igualmente próprios para armazenar uma função de computação o, uma função de codificação Fc e uma função de reinicialização Fréin. No exemplo de realização, a função de computação o é a função lógica “NÃO”, classicamente conhecida. Além disso, a função de codificação Fc é, no exemplo de realização, a função lógica “OU exclusivo”, classicamente conhecida. A função de reinicialização Fréin é igualmente, por exemplo, a função lógica “OU exclusivo”.

[0027] No exemplo de realização da Figura 2, os primeiros meios de computação 22A são formados a partir de um processador de dados, conhecido por si mesmo. Os primeiros meios de computação 22A são ligados, por um lado, aos meios de recepção 11 e, por outro lado, ao membro 14. Os primeiros meios de computação 22A recebem o dado de entrada De e fornecem na entrada do membro 14 um dado de saída intermediário DIA e um código de segurança intermediário CSIA. Os primeiros meios de computação 22A são próprios para computar o valor do dado de saída intermediário DIA a partir do valor do dado de entrada De. O dado DIA é, portanto, por exemplo, expresso conforme segue:

[0028] No exemplo de realização, o dado de saída intermediário DiA é uma variável formada a partir de uma combinação de dezesseis bits.

[0029] Os primeiros meios de computação 22A são próprios adicionalmente para computar o valor do código de segurança intermediário CSiA a partir do valor do dado de saída intermediário DiA e do valor da variável de codificação VCA. O código de segurança intermediário CSiA é expresso conforme segue:

[0030] F1, respectivamente MA, são uma função, respectivamente uma constante, armazenados nos primeiros meios de memorização 20A. F1 é, por exemplo, a função lógica “ET”. No exemplo de realização, MA é uma constante formada a partir de uma combinação de dezesseis bits. MA é, por exemplo, formada a partir de uma combinação de oito primeiros bits cujo valor é igual a um e de oito últimos bits cujo valor é igual a zero.

[0031] Os primeiros meios de computação 22A são próprios adicionalmente para testar a existência de um valor majoritário entre diversos valores de dados de saída intermediários, sendo que o valor majoritário é o valor mais frequente entre os valores de dados de saída intermediários, caso esse valor exista.

[0032] Os meios de comunicação 24A comportam meios de emissão 31A e meios de recepção 32A. Os meios de emissão 31A são próprios para ser ligados aos meios de recepção 32B do segundo módulo 12B por meio de uma ligação de dados 34. Os meios de recepção 32A são próprios para ser ligados aos meios de emissão 31B do segundo módulo 12B por meio da ligação de dados 35.

[0033] As ligações de dados 34, 35 são, por exemplo, ligações radioelétricas conforme a norma iEEE-802-11, geralmente denominadas ligações Wi-FiTM.

[0034] Os meios de apagamento 26A são, por exemplo, formados a partir de um processador de dados. Os mesmos são próprios para apagar o valor atual da variável de codificação VCA armazenada no seio da memória 20A.

[0035] Os meios de sincronização 28A comportam, por exemplo, um relógio próprio para entregar sinais impulsivos em instantes i regulares. Os meios de sincronização 28A são próprios para enviar sinais de sincronização para o destino dos meios de comunicação 24A e dos meios de modificação 30A. Os meios de sincronização 28A são próprios adicionalmente para se sincronizar com os meios de sincronização 28B do segundo módulo de tratamento 12B, por meio dos sinais de sincronização transmitidos pelos meios de comunicação 24A.

[0036] Os meios de modificação 30A comportam, por exemplo, um gerador 38A de sequências pseudoaleatórias e um processador 40A. O gerador 38A de sequências pseudoaleatórias é ligado aos meios de sincronização 28A e ao processador 40A. O gerador 38A é próprio para fornecer para o processador 40A um sinal pseudoaleatório Spa, em seguida à recepção de um sinal de sincronização entregue pelos meios de sincronização 28A. Mais precisamente, em cada instante i, o gerador 38A é próprio para fornecer para o processador 40A um sinal pseudoaleatório Spa(i).

[0037] O processador 40A é ligado adicionalmente aos primeiros meios de memorização 20A e aos meios de sincronização 28A. O processador 40A é próprio, em seguida à recepção de um sinal de sincronização entregue pelos meios de sincronização 28A, para modificar o valor atual da variável de codificação VCA armazenado no seio dos primeiros meios de memorização 20A. Mais precisamente, em cada instante i, o processador 40A é próprio para determinar o valor atual VCA (i) da variável de codificação VCA, notadamente a partir do valor precedente VCA (i-1) da variável de codificação VCA. O valor atual no instante i da variável de codificação VCA é expresso conforme segue:

[0038] Os meios de modificação 30A são, assim, próprios para modificar o valor atual da variável de codificação VcA armazenado no seio dos primeiros meios de memorização 20A.

[0039] O primeiro módulo de tratamento 12A é, assim, próprio para computar e para fornecer na entrada do membro 14 o dado de saída intermediário DIA e o código de segurança intermediário CSIA.

[0040] Os primeiros meios de memorização 20B do segundo módulo de tratamento 12B são próprios para armazenar uma variável de codificação VCB, própria para o módulo 12B, e uma função de computação o, idêntica à função de computação o do primeiro módulo de tratamento 12A. No exemplo de realização, a variável de codificação VCB é formada a partir de uma combinação de dezesseis bits. Os primeiros meios de memorização 20B são igualmente próprios para armazenar uma função de codificação Fc, idêntica à função de codificação Fc do primeiro módulo de tratamento 12A, e uma função de reinicialização Fréin, idêntica à função de reinicialização Fréin do primeiro módulo de tratamento 12A.

[0041] Os meios de modificação 30B do segundo módulo de tratamento 12B são próprios para modificar o valor atual da variável de codificação VCB armazenada no seio dos primeiros meios de memorização 20B. O valor atual no instante i da variável de codificação VCB é expresso conforme segue:

[0042] O segundo módulo de tratamento 12B é, assim, próprio para computar e para fornecer, na entrada do membro de computação 14, um dado de saída intermediário DIB e um código de segurança intermediário CSIB. O dado de saída intermediário DIB e o código de segurança intermediário CSIB são expressos conforme a seguir:

[0043] F1, respectivamente MB, são uma função, respectivamente uma constante, armazenados nos primeiros meios de memorização 20B. A função F1 é idêntica à função F1 do primeiro módulo de tratamento 12A. No exemplo de realização, MB é uma constante formada a partir de uma combinação de dezesseis bits. MB é, por exemplo, formado a partir de uma combinação de oito primeiros bits cujo valor é igual a zero e de oito últimos bits cujo valor é igual a um.

[0044] No exemplo de realização descrito, o dado de saída intermediário DIB é uma variável formada a partir de uma combinação de dezesseis bits.

[0045] A cada instante i, os valores das variáveis de codificação VCA, respectivamente VCB do módulo de tratamento 12A, respectivamente 12B, verificam entre si uma mesma relação matemática, por exemplo, a relação matemática a seguir:

em que F2 é, por exemplo, a função lógica “OU exclusivo” e K é uma constante. No exemplo de realização, K é uma constante formada a partir de uma combinação de dezesseis bits.

[0046] Os módulos de tratamento 12A, 12B são próprios para a troca de dados, de acordo com um protocolo de comunicação sincronizado, através de seus meios de comunicação e seus meios de sincronização respectivos.

[0047] O membro de computação 14 forneceu na entrada dos meios de emissão 18 o dado de saída Ds, assim como o código de segurança CS. O membro 14 comporta segundos meios de memorização 42 e segundos meios de computação 44, ligados aos segundos meios de memorização 42.

[0048] Os segundos meios de memorização 42 são formados, por exemplo, a partir de uma memória flash. Os segundos meios de memorização 42 são próprios para armazenar uma constante de decodificação KD e uma função de consolidação Fconso. No exemplo de realização, a função de consolidação Fconso é a função lógica “OU exclusivo”, e a constante de decodificação KD é uma constante formada a partir de uma combinação de dezesseis bits.

[0049] No exemplo de realização descrito, os segundos meios de computação 44 são formados a partir de um processador de dados. Os segundos meios de computação 44 são ligados, por um lado, a cada um dos primeiros meios de computação 22A, 22B e, por outro lado, aos meios de emissão 18. Os segundos meios de computação 44 fornecem na entrada dos meios de emissão 18 o dado de saída Ds e o código de segurança CS. Os segundos meios de computação 44 são próprios para computar o valor do dado de saída Ds a partir do valor dos dados de saída intermediários DIA, DIB. O valor do dado de saída Ds é, no exemplo de realização, tido como igual ao valor do dado de saída intermediário DIA. Como alternativa, o valor do dado de saída Ds é tido como igual ao valor do dado de saída intermediário DIB.

[0050] Os segundos meios de computação 44 são próprios adicionalmente para computar o valor do código de segurança CS a partir do valor de cada código de segurança intermediário CSIA, CSIB e do valor da constante de decodificação KD. O código de segurança CS é, por exemplo, expresso conforme segue:

[0051] Os meios de emissão 18 são próprios para transmitir o dado de saída Ds e o código de segurança CS para o dispositivo de recepção 8.

[0052] Na Figura 3 são representadas as etapas de um processo de confiabilidade de dados implantado pelo computador 6, em um modo de realização da invenção.

[0053] Em seguida à descrição, considera-se que a probabilidade de aparição de um defeito simultâneo nos módulos de tratamento 12A, 12B é nulo.

[0054] Considera-se adicionalmente que, no instante presente i-1, os primeiros meios de memorização 20A, respectivamente 20B, armazenam um valor atual VCA(i- 1), respectivamente VCB(i-1) da variável de codificação VCA, respectivamente VCB.

[0055] No momento de uma etapa 60 inicial, os meios de recepção 11 recebem uma mensagem que comporta o dado de entrada De.

[0056] No curso de uma etapa 62 a seguir, os meios de recepção 11 fornecem o dado de entrada De a cada um dos primeiros meios de computação 22A, 22B.

[0057] No curso de uma etapa 64 a seguir, os primeiros meios de computação 22A, respectivamente 22B, computam o valor atual do dado de saída intermediário DIA, respectivamente DIB a partir do valor atual do dado de entrada De. A expressão do dado de saída intermediário DIA, respectivamente DIB, é dado pela fórmula (1), respectivamente a fórmula (5).

[0058] De forma complementar, no curso de uma etapa 66 a seguir, os primeiros meios de computação 22A, respectivamente 22B, transmitem o valor atual do dado de saída intermediário DIA, respectivamente DIB, aos meios de emissão 31A, respectivamente 31B. Os meios de emissão 31A, respectivamente 31B, transmitem, portanto, o valor atual do dado de saída intermediário DIA, respectivamente DIB, aos meios de recepção 32B, respectivamente 32A, por meio da ligação de dados 34, respectivamente 35. Os meios de recepção 32B, respectivamente 32A, transmitem o valor atual do dado de saída intermediário DIA, respectivamente DIB aos primeiros meios de computação 22B, respectivamente 22A.

[0059] De forma complementar, no curso de uma etapa 68 a seguir, cada um dos primeiros meios de computação 22A, 22B determina se existe um valor majoritário entre os valores atuais dos dados de saída intermediários DIA, DIB.

[0060] Se no fim da etapa 68 cada um dos primeiros meios de computação 22A, 22B determina que não existe valor majoritário entre os valores atuais dos dados de saída intermediários DIA, DIB, os meios de apagamento 26A apagam o valor atual da variável de codificação VCA nos primeiros meios de memorização 20A no curso de uma etapa 70. Como alternativa, os meios de apagamento 26B apagam o valor atual da variável de codificação VCB nos primeiros meios de memorização 20B no curso da etapa 70. De forma complementar, uma etapa 72 a seguir é, portanto, implantada pelos processadores 40A, 40B, conforme descrito a seguir.

[0061] Se no fim da etapa 68 cada um dos primeiros meios de computação 22A, 22B determina que existe um valor majoritário entre os valores atuais dos dados de saída intermediários DIA, DIB, a etapa 72 é realizada.

[0062] A etapa 72 se desencadeia no instante i que segue imediatamente o fim da etapa 68 ou da etapa 70. No instante i, os valores atuais VCA(Í-1), VCB(Í-1) das variáveis de codificação VCA,VCB são provenientes de valores precedentes. Nesse mesmo instante i, o processador 40A, respectivamente 40B, determina o valor atual VcA(i), respectivamente VcB(i), da variável de codificação VcA, respectivamente VcB, a partir do valor precedente VcA(i-1), respectivamente VcB(i-1), da dita variável de codificação. A etapa 72 é assim realizada de maneira sincronizada entre os módulos de tratamento 12A, 12B. A expressão do valor atual da variável de codificação VcA, respectivamente VCB, no instante i é dada pela fórmula (3), respectivamente a fórmula (4).

[0063] No curso de uma etapa 74 a seguir, o processador 22A, respectivamente 22B, computa o valor atual do código de segurança intermediário CSIA, respectivamente CSIB, a partir do valor atual do dado de saída intermediário DIA, respectivamente DIB, e do valor atual da variável de codificação VCA, respectivamente VCB. A expressão do código de segurança intermediário CSIA, respectivamente CSIB, é dado pela fórmula (2), respectivamente a fórmula (6).

[0064] No curso de uma etapa 76 a seguir, os primeiros meios de computação 22A, respectivamente 22B, transmitem o dado de saída intermediário DIA, respectivamente DIB, e o código de segurança intermediário CSIA, respectivamente CSIB, aos segundos meios de computação 44.

[0065] No curso de uma etapa 78 a seguir, os segundos meios de computação 44 computam o valor atual do código de segurança CS a partir do valor atual de cada código de segurança intermediário CSIA, CSIB e do valor da constante de decodificação KD. A expressão do código de segurança CS é dado pela fórmula (8).

[0066] No curso de uma etapa 80 a seguir, os segundos meios de computação 44 selecionam um valor entre os valores dos dados de saída intermediário DIA, DIB. O valor selecionado é, por exemplo, o valor atual do dado de saída intermediário DIA. O valor atual do dado de saída Ds é tido como igual ao valor selecionado, ou seja, igual ao valor atual do dado de saída intermediário DIA.

[0067] No curso de uma etapa 82 a seguir, os segundos meios de computação 44 transmitem o dado de saída Ds e o código de segurança CS aos meios de emissão 18. Os meios de emissão 18 transmitem, portanto, o dado de saída Ds e o código de segurança CS para o dispositivo de recepção 8.

[0068] No curso de uma etapa 83 a seguir, o dispositivo de recepção 8 recebe o dado de saída Ds e o código de segurança CS.

[0069] No curso de uma etapa 84 a seguir, o dispositivo de recepção 8 verifica, por implantação do algoritmo de controle, a coerência entre o dado de saída Ds e o código de segurança Cs.

[0070] De acordo com um primeiro aspecto da invenção, o processo de confiabilidade de dados de acordo com a invenção permite, assim, garantir a função de “voto majoritário” do computador. De fato, se os valores dos dados de saída intermediários DIA, DIB são idênticos, o dado de saída Ds toma como valor o valor majoritário, na ocorrência do único valor possível. Além disso, se os valores dos dados de saída intermediários DIA, DIB diferem, o código de segurança CS toma um valor particular, diferente do valor tomado quando os valores dos dados de saída intermediários DIA, DIB são idênticos.

[0071] Assim, se os valores dos dados de saída intermediários DIA, DIB diferem, o dispositivo de recepção 8 determina uma incoerência entre o dado de saída Ds emitido e o código de segurança CS. O dispositivo de recepção 8 recusa, portanto, o dado de saída Ds. O computador 6 que implanta o processo de acordo com a invenção permite, portanto, fornecer em todos os casos, seja um dado de saída Ds correto, seja um dado de saída Ds errôneo, mas detectável.

[0072] De acordo com um segundo aspecto da invenção, de modo independente ou complementar ao primeiro aspecto, o processo de confiabilidade de dados permite garantir a função de “passivação” do computador 6. Mais particularmente, as etapas 66, 68 e 70 correspondem à implantação dessa função de “passivação”.

[0073] A etapa 72 de reinicialização permite, além disso, vantajosamente para o computador 6 autotestar de maneira periódica a função de “passivação”, e de se presumir, assim, contra o risco de defeito dos meios de apagamento 26A, 26B. Esse risco corresponde a uma impossibilidade dos meios de apagamento de apagar a variável de codificação VCA, respectivamente VCB, nos primeiros meios de memorização 20A, respectivamente 20B. Adicionalmente, no caso de ocorrência de defeito em um dos módulos de tratamento no curso da etapa 72 de reinicialização, a relação matemática da fórmula (7), verificada teoricamente a cada instante i pelas variáveis de codificação VCA, VCB entre si, não é mais verificada. Graças a essa característica, a função de “passivação” do computador 6 continua a ser garantida permanentemente, mesmo no caso de defeito em um dos módulos de tratamento no momento da etapa 72.

[0074] Entende-se assim que o processo de confiabilidade de dados de acordo com esse modo de realização da invenção permite se destacar da utilização de meios materiais dedicados para garantir a função de voto majoritário do computador.

[0075] Esse modo de realização constitui o modo de realização preferencial da invenção.

[0076] O versado na técnica compreenderá que a invenção se aplica da mesma maneira em um processo de confiabilidade de dados que não comporta as etapas 66, 68, 70 e 72.

[0077] Como alternativa não representada, o computador comporta um número N1 de módulos 12 de tratamento de dados, N1 sendo um número inteiro superior ou igual a três. Cada módulo de tratamento 12 comporta primeiros meios de memorização 20 e primeiros meios de computação 22. Os primeiros meios de memorização 20 de um módulo de tratamento 12 são próprios para armazenar uma variável de codificação VC, própria para o módulo. Cada um dos primeiros meios de computação 22 recebe o dado de entrada De e fornece na entrada do membro 14 um dado de saída intermediário DI e um código de segurança intermediário CSI. De maneira análoga ao modo de realização preferencial da invenção, os módulos de tratamento 12 são próprios para a troca dos dados de acordo com um protocolo de comunicação sincronizado, através de seus meios de comunicação e seus meios de sincronização respectivos. Adicionalmente, as funções de computação o, as funções de codificação Fc e as funções de reinicialização Fréin de cada um dos módulos de tratamento são idênticas.

[0078] De acordo com essa variante de realização, cada um dos primeiros meios de computação 22 é adicionalmente próprio para verificar a correspondência entre o valor do dado de saída intermediário DI correspondente e um eventual valor majoritário. Adicionalmente, o processo comporta duas etapas suplementares 86, 88. As etapas 86, 88 são realizadas entre a etapa 68 e a etapa 72, se no fim da etapa 68, cada um dos primeiros meios de computação 22 determina que existe um valor majoritário entre os valores dos dados de saída intermediários DI.

[0079] No momento da etapa 86, cada um dos primeiros meios de computação 22 verifica se o valor de seu dado de saída intermediário DI é igual ao valor majoritário.

[0080] Se no fim da etapa 86, cada um dos primeiros meios de computação 22 verificar que o valor de seu dado de saída intermediário DI é igual ao valor majoritário, a etapa 72 é realizada.

[0081] Se no fim da etapa 86, pelo menos um dos primeiros meios de computação 22 verifica que o valor de seu dado de sua saída intermediário DI não é igual ao valor majoritário, os meios de apagamento do módulo de tratamento correspondente apagam o valor atual da variável de codificação VC nos primeiros meios de memorização 20 no curso da etapa 88.

[0082] O versado na técnica compreenderá que, no momento da etapa 76, os primeiros meios de computação 22 de cada módulo de tratamento 12 transmitem o dado de saída intermediário DI correspondente e o código de segurança intermediário CSI correspondente, aos segundos meios de computação 44 do membro de computação 14.

[0083] No momento da etapa 78 a seguir, os segundos meios de computação 44 computam o valor atual do código de segurança CS a partir do valor atual de cada código de segurança intermediário CSI transmitido no momento da etapa 76.

[0084] No momento da etapa 80 a seguir, os segundos meios de computação 44 selecionam um valor entre os valores dos dados de saída intermediário DI transmitidos no momento da etapa 76. O valor atual do dado de saída Ds é, portanto, tido como igual ao valor selecionado.

[0085] No curso da etapa 82 a seguir, os segundos meios de computação 44 transmitem o dado de saída Ds e o código de segurança CS aos meios de emissão 18. Os meios de emissão 18 transmitem, portanto, o dado de saída Ds e o código de segurança CS para o dispositivo de recepção 8.

[0086] No curso da etapa 83 a seguir, o dispositivo de recepção 8 recebe o dado de saída Ds e o código de segurança CS.

[0087] No curso da etapa 84 a seguir, o dispositivo de recepção 8 verifica, por implantação do algoritmo de controle, a coerência entre o dado de saída Ds e o código de segurança Cs.

[0088] De acordo com outra variante de realização particular, não representada, o computador comporta três módulos 12A, 12B, 12C de tratamento de dados. A condição de “voto majoritário” é, portanto, satisfeita quando pelo menos dois dos três módulos produzem os dados de saídas coerentes a partir do mesmo dado de entrada.

[0089] Um computador assim constituído comporta, portanto, três pares (12A; 12B), (12B; 12C) e (12C; 12A) de módulos de tratamento, em que cada módulo 12A, 12B, 12C pertence a dois pares.

[0090] Em cada módulo de tratamento 12A, 12B, 12C, o processo de geração do código de segurança intermediário é, portanto, duplicado. Em particular, dois códigos de segurança intermediários CSI-AB, CSI-AC, CSI-BA, CSI-BC, CSI-CA, CSI-CB são gerados através de cada módulo 12A, 12B, 12C. Mais precisamente, cada módulo 12A, 12B, 12C gera um código para cada par (12A; 12B), (12B; 12C), (12C; 12A) ao qual o mesmo pertence.

[0091] Os primeiros meios de memorização 20 de cada módulo 12A, 12B, 12C são próprios para armazenar duas variáveis de codificação Vc1 e Vc2, relativas ao módulo.

[0092] Cada um dos primeiros meios de computação 22 recebe o dado de entrada De e fornece na entrada do membro 14 um dado intermediário DI e dois códigos de segurança intermediários CSI: o módulo 12A computa dois códigos CSI-AB e CSI-AC; o módulo 12B computa dois códigos CSI-BA e CSI-BC; o módulo 12C computa dois códigos CSI-CA e CSI-CB.

[0093] O membro 14 seleciona um par de módulos entre os três pares possíveis (12A; 12B), (12B; 12C), (12C; 12A), na base de um voto majoritário dos dados DI recebidos.

[0094] O membro 14 computa, portanto, o código de segurança CS a partir dos códigos de segurança intermediários associados ao par selecionado. Assim, se o par (12A; 12B) foi selecionado, portanto, o código de segurança CS é computado a partir dos códigos intermediários CSI-AB e CSI-BA.

[0095] Entende-se assim que o processo de confiabilidade de dados de acordo com a invenção permite se destacar da utilização de meios materiais dedicados para garantir a função de voto majoritário e de passivação do computador.

Claims

1. Processo de confiabilidade de dados em um computador (6), o computador (6) sendo próprio para fornecer um dado de saída (Ds) a partir de um dado de entrada (De), e comportando pelo menos dois módulos (12A, 12B) de tratamento de dados, e um membro de computação (14) ligado a cada módulo de tratamento (12A, 12B), o processo compreendendo uma etapa (64) de computação, através de cada módulo de tratamento (12A, 12B), de um dado intermediário (DIA, DIB) a partir do dado de entrada (De), a dita computação consiste na aplicação de uma função de computação (o) no dado de entrada (De), a função de computação (o) sendo idêntica para todos os módulos de tratamento (12A, 12B), o processo sendo caracterizado pelo fato de que compreende as etapas a seguir: - computar (74), através de cada módulo de tratamento (12A, 12B), um código de segurança intermediário (CSIA, CSIB) a partir do dado intermediário (DIA, DIB) correspondente, - transmitir (76) ao membro de computação (14), através de cada módulo de tratamento (12A, 12B), o código de segurança intermediário (CSIA, CSIB) e o dado intermediário (DIA, DIB), - computar (78), através do membro de computação (14), um código de segurança (CS) a partir dos códigos de segurança intermediários (CSIA, CSIB), - selecionar (80), através do membro de computação (14), um dado intermediário entre os dados intermediários (DIA, DIB) recebidos, o dado de saída (Ds) do computador (6) compreendendo o dado intermediário selecionado, e - transmitir (82) para o destino de um dispositivo de recepção (8), através do membro de computação (14), o código de segurança (CS) e o dado de saída (Ds).

2. Processo, de acordo com a reivindicação 1, caracterizado pelo fato de que cada módulo de tratamento (12A, 12B) comporta os primeiros meios de memorização (20A, 20B) de pelo menos uma variável de codificação (VCA, VCB) e de uma função de codificação (Fc), a função de codificação (Fc) sendo idêntica para todos os módulos de tratamento (12A, 12B), e que no momento da etapa (74) de computação de um código de segurança intermediário (CSIA, CSIB) a partir do dado intermediário (DIA, DIB) correspondente, a dita computação consiste em aplicar, por cada módulo de tratamento (12A, 12B), a função de codificação (Fc) pelo menos no dado intermediário (DIA, DIB) e na variável de codificação (VCA, VCB).

3. Processo, de acordo com a reivindicação 1 ou 2, caracterizado pelo fato de que o membro de computação (14) comporta os segundos meios de memorização (42) de pelo menos uma constante de decodificação (KD) e uma função de consolidação (Fconso), e que no momento da etapa (78) de computação de um código de segurança (CS) a partir dos códigos de segurança intermediários (CSIA, CSIB), a dita computação consiste em aplicar, através do membro de computação (14), a função de consolidação (Fconso) em cada código de segurança intermediário (CSIA, CSIB) recebido e na constante de decodificação (KD).

4. Processo, de acordo com a reivindicação 2 ou 3, caracterizado pelo fato de que comporta adicionalmente, entre a etapa (64) de computação de um dado intermediário e a etapa (74) de computação de um código de segurança intermediário, uma etapa (66) de transmissão, por cada módulo de tratamento (12A, 12B), do valor de seu dado intermediário (DIA, DIB) para outros módulos de tratamento (12A, 12B) e uma etapa (68) de teste, por cada módulo de tratamento (12A, 12B), da existência de um valor majoritário entre o conjunto de valores dos dados intermediários (DIA, DIB), o valor majoritário sendo o valor mais frequente entre os valores de dados intermediários (DIA, DIB), caso esse valor exista.

5. Processo, de acordo com a reivindicação 4, caracterizado pelo fato de que, se o teste de existência de um valor majoritário for negativo no momento da etapa (68) de teste correspondente, o processo comporta uma etapa (70) de supressão por um dos módulos de tratamento (12A, 12B) de sua variável de codificação (VCA, VCB).

6. Processo, de acordo com qualquer uma das reivindicações 2 a 5, caracterizado pelo fato de que comporta adicionalmente, antes da etapa (74) de computação de um código de segurança intermediário, uma etapa (72) de reinicialização, por cada módulo de tratamento (12A, 12B), de sua variável de codificação (VCA, VCB), a dita etapa (72) de reinicialização sendo realizada de maneira sincronizada entre todos os módulos de tratamento (12A, 12B).

7. Processo, de acordo com qualquer uma das reivindicações 1 a 6, caracterizado pelo fato de que o dado de saída (Ds) é o dado intermediário selecionado através do membro de computação (14) no momento da etapa (80) de seleção.

8. Processo, de acordo com qualquer uma das reivindicações 1 a 7, caracterizado pelo fato de que comporta adicionalmente uma etapa (83) de recepção, pelo dispositivo de recepção (8), do código de segurança (CS) e do dado de saída (Ds) e uma etapa (84) de verificação, pelo dispositivo de recepção (8), da coerência entre o código de segurança (CS) e o dado de saída (Ds).

9. Processo, de acordo com qualquer uma das reivindicações 1 a 8, caracterizado pelo fato de que o computador comporta três módulos de tratamento de dados, os três módulos de tratamento sendo divididos em três pares de módulos, cada módulo pertencendo a dois pares distintos, em que cada módulo de tratamento computa dois códigos de segurança intermediários a partir do dado intermediário correspondente, cada código de segurança intermediário sendo associado a um dos dois pares ao qual pertence o módulo, em que cada módulo de tratamento transmite ao membro de computação (14) o dado intermediário e os dois códigos de segurança intermediários associados, em que o membro de computação (14) computa o código de segurança (Cs) a partir de um primeiro código de segurança intermediário transmitido por um dos módulos de tratamento e associado a um primeiro par de módulos, e de um segundo código de segurança intermediário transmitido por um outro módulo, o dito segundo código de segurança intermediário sendo associado ao primeiro par de módulos, e em que o dado intermediário selecionado através do membro de computação (14) é um dos dados intermediários associados aos módulos do primeiro par de módulos.

10. Computador (6) próprio para fornecer um dado de saída (Ds) a partir de um dado de entrada (De), que comporta: - pelo menos dois módulos (12A, 12B) de tratamento de dados, cada módulo de tratamento (12A, 12B) comportando os primeiros meios (22A, 22B) de computação de um dado intermediário (DIA, DIB) a partir do dado de entrada (De), os ditos primeiros meios de computação sendo próprios para aplicar uma função de computação (o) ao dado de entrada (De), a função de computação (o) sendo idêntica para todos os módulos de tratamento (12A, 12B), - um membro de computação (14) ligado a cada módulo de tratamento (12A, 12B), caracterizado pelo fato de que os primeiros meios (22A, 22B) de computação são adicionalmente próprios para computar um código de segurança intermediário (CSIA, CSIB) a partir do dado intermediário (DIA, DIB) correspondente, cada módulo de tratamento (12A, 12B) sendo próprio para transmitir ao membro de computação (14) o código de segurança intermediário (CSIA, CSIB) e o dado intermediário (DIA, DIB) correspondente, e em que o membro de computação (14) comporta os segundos meios (44) de computação de um código de segurança (CS) a partir dos códigos de segurança intermediários (CSIA, CSIB), o membro de computação (14) sendo próprio para selecionar um dado intermediário entre os dados intermediários (DIA, DIB) recebidos e para transmitir o código de segurança (CS) e o dado de saída (Ds) para um dispositivo de recepção (8), o dado de saída (Ds) compreendendo o dado intermediário selecionado.

11. Conjunto de comunicação (2) que comporta um computador (6) e um dispositivo (8) de recepção de dados, o computador (6) sendo próprio para fornecer um código de segurança (CS) e um dado (Ds), o dispositivo de recepção (8) comportando meios de memorização de um algoritmo de controle, o dispositivo de recepção (8) sendo próprio para receber o código de segurança (Cs) e o dado de saída (Ds), e para verificar, através da implantação do algoritmo de controle, a coerência entre o código de segurança (CS) e o dado de saída (Ds), caracterizado pelo fato de que o computador (6) é conforme definido na reivindicação 10.

12. Sistema de gestão ferroviária (1) caracterizado pelo fato de que compreende pelo menos um conjunto (2) conforme definido na reivindicação 11.