CN109891845B

CN109891845B - 管理和维护包括有高度安全性的区域的飞机的方法和系统

Info

Publication number: CN109891845B
Application number: CN201780030528.5A
Authority: CN
Inventors: C·维尔莱斯; E·库蒂里耶; L·罗宾; T·莫诺特
Original assignee: Safran Electronics and Defense SAS
Current assignee: Safran Electronics and Defense SAS
Priority date: 2016-03-25
Filing date: 2017-03-16
Publication date: 2021-06-29
Anticipated expiration: 2037-03-16
Also published as: EP3433991B1; US10972433B2; FR3049415B1; FR3049415A1; WO2017162526A8; CN109891845A; US20190109825A1; EP3433991A1; WO2017162526A1

Abstract

本发明涉及管理和维护包括有高度安全性的区域的飞机的方法和系统，所述飞机的人机界面被包括在具有高度安全性的区域内，并且需要由维护操作员对飞机的位于该具有高度安全性的区域之外的待维护装置执行维护操作。所述方法包括以下步骤：将第一装置(40)连接到该高度安全的区域；将第二装置(20)连接到第三装置(PU)；由所述第二装置(20)从第一装置接收所述飞机的人机界面，并传递用于在所述第三装置(PU)上显示所述飞机的人机界面的信息；借助于电信网络(RE)将所述第二装置(20)连接到服务器(30)，以便从所述服务器(30)接收给所述第三装置(PU)的信息。

Description

管理和维护包括有高度安全性的区域的飞机的方法和系统

技术领域

本发明涉及飞机的管理与维护的领域。

背景技术

针对相同的维护操作，飞机的维护有时需要在飞机的驾驶舱内以及在必须进行维护操作的飞机的零件的附近存在维护人员。

例如，当必须对飞机的前起落架进行维护时，至少需要两人。第一个人位于飞机的驾驶舱内并能够访问允许前起落架的维护的文档和驾驶舱内的各种屏幕和/或控制装置。

这些屏幕和/或控制装置随后被称为驾驶舱的人机界面。

文档是纸质形式的或被存储在飞机的计算机系统中。

至少一名第二人根据由位于飞机驾驶舱内的人员提供的指示对前起落架进行实际维护。

这些指令通常是口头提供的，并且可能受到环境噪声的干扰。

非常普遍地，文档不是最新的，这不利于飞机的维护。

此外，飞机的维护可能由来自于世界各地不同公司的不同人员提供。

维护操作员按照既定的维护程序来确定什么零件必须进行更换或调整。因此，按照既定的程序，同一零件可能会被更换多次，然而这不是故障的原因，而是故障的后果。

最终，取决于进行维护的地点，有时很难让公认的专家来解决这种故障。

发明内容

本发明旨在减少从事某些维护工作的人数，以保证维护操作所需的文档是最新的，并允许专家对维护操作进行任何干预。

为此，根据第一方面，本发明提出了一种用于管理和维护包括具有高度安全性的区域的飞机的方法，飞机的人机界面被包括在该具有高度安全性的区域内，并且需要由维护操作员对所述飞机的位于该具有高度安全性的区域之外的待维护装置执行维护操作，其特征在于，所述方法包括以下步骤：

-将第一装置连接到该高度安全的区域，以访问飞机的人机界面，

-将第二装置连接到第三装置，该第三装置能够显示飞机的人机界面，并且维护操作员可以借助于该第三装置与飞机的人机界面进行交互，

-利用第二装置对维护操作员进行验证，

-在第一装置与第二装置之间创建安全通信连接，该安全连接是在通信网络中创建的，

-由第二装置接收第一装置中的飞机的人机界面，并传递用于在第三装置上显示该飞机的人机界面的信息，

-借助于电信网络将第二装置连接到服务器，以便借助于第二装置从服务器获得给第三装置的信息，第二装置与服务器的连接不通过所创建的安全连接来进行。

本发明还涉及一种用于管理和维护包括具有高度安全性的区域的飞机的系统，飞机的人机界面被包括在该具有高度安全性的区域内，并且需要由维护操作员对所述飞机的位于该具有高度安全性的区域之外的待维护装置执行维护操作，其特征在于，所述系统包括：

-将第一装置连接到该高度安全的区域以访问飞机的人机界面的装置，

-将第二装置连接到第三装置的装置，该第三装置能够显示飞机的人机界面，并且维护操作员可以借助于该第三装置与飞机的人机界面进行交互，

-利用第二装置对维护操作员进行验证的装置，

-在第一装置与第二装置之间创建安全通信连接的装置，该安全连接是在通信网络中创建的，

-通过第二装置接收第一装置中的飞机的人机界面并传递用于在第三装置上显示该飞机的人机界面的装置的信息，

-借助于电信网络将第二装置连接到服务器以便借助于第二装置从服务器获得给第三装置的信息的装置，第二装置与服务器的连接不通过所创建的安全连接来进行。

因此，本发明可以减少参与某些维护任务的人员数量，并且保证维护操作所需的文档是最新的，以及允许专家参与任何维护操作。

根据本发明的具体实施方式，从服务器获得的信息是飞机文档。

因此，维护操作员可使用维护操作所需的所有文档。

根据本发明的具体实施方式，所获得的信息是专家与维护操作员的联络(connection)。

因此，维护操作员可从专家获得用于执行维护操作的帮助。

根据本发明的具体实施方式，第二装置将用于显示飞机的人机界面的信息传递到服务器以提供给专家。

因此，专家可获得帮助维护操作员所需的所有信息。

根据本发明的具体实施方式，该方法还包括以下步骤：

-在第一装置与服务器之间创建安全通信连接，该安全连接是在通信网络中创建的，

-由服务器接收第一装置中的飞机的人机界面，以将飞机的人机界面显示于该服务器以提供给专家。

因此，专家可获得用于帮助维护操作员所需的所有信息。

本发明还涉及存储在信息载体上的计算机程序，当这些程序被加载到计算机系统中并由计算机系统执行时，所述程序包括用于实现上述方法的指令。

附图说明

上述发明的特征以及其它方面，将从阅读示例实施方式的以下描述中更清晰地显现出来，所述描述是相对于附图给出的，在附图中：

图1示出了实现本发明的系统；

图2示出了根据本发明的地面移动装置的架构的示例；

图3示出了根据本发明的服务器的架构的示例；

图4示出了由地面移动装置部分执行的算法的步骤。

具体实施方式

图1示出了实现本发明的系统。

在航空领域，诸如飞机10的驾驶舱OMS的敏感区域由需要高度安全性的计算机系统管理，因此需要高度安全的访问控制。

管理这些区域的信息系统共享高可靠性和安全需求和要求。安全需求的特征在于根据多个主题、完整性、机密性、可用性、可靠性、抗入侵性和操作的可追溯性等因素。这些系统符合旨在确保该安全级别的严格规范。

具体地，对于系统、设备或甚至用户而言，如果它相对于另一个系统的安全要求不存在安全威胁，则它是值得信任的，尤其是对飞行安全有高可靠性要求的那些系统。另一方面，能够通过影响另一个系统的安全要求来恶意地发挥作用的系统或设备被认定为是不受信任的。

因此，必须保护高度安全的信息系统(称为受信任的)免受来自于其它不受信任的系统的恶意攻击。在正常运行过程中，这些系统通常是隔离的，并且由于不受信任的元件无法访问，所以可以保证这些系统的安全级别。

然而，这些系统必须进行维护操作。这些维护操作包括系统的管理、参数的更改、更新、适配和调整。它们还包括日志数据的恢复。最后，它们包括更新软件模块，以使得系统能够发展。这些维护操作需要将外部系统连接到OMS高度安全的系统。那么这个外部系统本身就必须值得信任，也就是说要按照与高度安全的系统一致的精确规范进行管理，以保证对维护操作的信任。

根据本发明，被称为机载移动装置EMB 40的第一装置经由网络服务器NSS连接到敏感区域OMS，并且可以访问飞机的人机界面MMI。

被称为地面移动装置EMS 20的第二装置借助于网络RE与机载移动装置EMB40进行通信。

地面移动装置EMS连接到被称为用户站US的第三装置。

受信任的区域包括OMS、飞机10、机载移动装置EMB 40和地面移动装置20。受信任的区域不包括用户站US。

因为用户站US不构成受信任区域的一部分，所以任何类型的用户站US都可以用于维护操作，而不需要任何特定的管理。例如，用户站US是触控平板电脑、智能手机或者甚至是便携式计算机。

机载移动装置EMB 40与网络服务器NNS之间的连接可以通过诸如以太网连接的有线连接或者诸如Wi-Fi连接的无线连接等来完成。

通常，用于限制进入敏感区域OMS的数据流的防火墙将流出的数据流限制为绝对必要且为了系统的维护而提供的流。机载移动装置EMB 40通常是连接到安全系统的网络的便携式计算机。当机载移动装置EMB没有通过直接电缆链路(例如当它是无线链路或穿过网络的链路时)连接至网路NSS的服务器时，机载移动装置EMB与网络服务器NSS之间的连接借助于加密隧道来保护。

例如，网络RE是诸如Wi-Fi网络的无线网络。机载移动装置EMB与地面移动装置EMS20之间的连接借助于加密隧道来保护。

地面移动装置EMS 20与用户站US之间的连接可以基于任何技术，诸如，例如，USB(通用串行总线)类型的串行链路，或者诸如以太网的有线连接，或者诸如蓝牙的无线技术。

地面移动装置EMS 20还具有用于验证用户的装置(例如，指纹读取器)。与机载移动装置EMB 40的隧道的建立可以经历验证确认。地面移动装置EMS 20也具有可用的验证信用(例如，为能够建立所述隧道的数字证书的形式)。

网络RE还使得地面移动装置EMS 20能够与托管数据库的远程服务器30进行通信，并且能够从专家获得帮助。

例如，服务器30是可用飞机10的航空公司的服务器，或者是飞机维护公司的服务器。由于服务器30通常实际上与网络RE相距很远，所以服务器30可以通过多个通信网络的组合与网络RE连接。

当维护操作必须由维护操作员对飞机10的装置TA(例如，前起落架)执行时，维护操作员将机载移动装置EMB 40连接到网络服务器NSS。例如，机载移动装置EMB 40被储存在飞机10上或由维护操作员带来。

维护操作员靠近待维护装置TA，以便进行该装置TA的维护。

维护操作员将地面移动装置EMS 20与用户站连接，并利用地面移动装置EMS 20验证其自己。

然后，在地面移动装置EMS 20与机载移动装置EMB 40之间创建隧道。

然后，飞机10的人机界面MMI通过由此创建的隧道和地面移动装置EMS 20被迁移(offset)到用户站US上。

飞机10的人机界面MMI允许显示维护菜单，从而可以选择包括例如参数化操作、操作数据恢复以及更新系统中的软件模块的维护操作类型。

此外，根据本发明，维护操作员可以借助于地面移动装置EMS 20访问服务器30，以便获得与装置TA的维护有关的技术文档。同样，维护操作员可以借助于地面移动装置EMS20访问服务器30，以便从专家获得技术帮助。在某些情况下(例如在访问TA的机密参数化元件期间)，必须经由加密隧道来进行对技术文档或专家帮助的访问，以保证交换的机密性。

专家是比在网络服务器NSS上或者在用户站US上可以访问的有关装置TA的维护的技术文档更全面的自然人或帮助诊断的软件系统。

图2示出了根据本发明的地面移动装置的架构的示例。

地面移动装置EMS 20包括：

-处理器、微处理器或微控制器200；

-易失性存储器203；

-非易失性存储器202；

-网络接口205；

-验证接口206；

-用于与用户站US进行通信的接口207；

-芯片卡类型的组件208，该组件208例如可以存储具有高机密性要求的数据，诸如，例如允许验证的元件；

-通信总线，该通信总线将处理器200连接到ROM存储器203、RAM存储器203、组件208以及接口205、206和207。

处理器200能够执行从非易失性存储器202加载到易失性存储器203中的指令。当地面移动装置EMS 20被上电时，处理器200能够从易失性存储器203读取指令并执行这些指令。这些指令形成使得能够通过处理器200实现关于图4描述的方法的全部或部分的计算机程序。

关于图4描述的方法的全部或部分可以通过由可编程机器(诸如，DSP(数字信号处理器)或微控制器)执行一组指令以软件形式实现，或者通过机器或专用组件(诸如，FPGA(现场可编程门阵列)或ASIC(专用集成电路))以硬件形式实现。

图3示出了根据本发明的服务器的架构的示例。

服务器30包括：

-处理器、微处理器或微控制器300；

-易失性存储器303；

-非易失性存储器302；

-网络接口305；

-通信总线，该通信总线将处理器300连接到ROM存储器303、RAM存储器303以及网络接口305。

处理器300能够执行从非易失性存储器302加载到易失性存储器303中的指令。当服务器30被上电时，处理器300能够从易失性存储器303读取指令并执行这些指令。这些指令形成使得能够通过处理器300实现根据本发明的方法的全部或部分的计算机程序。

根据本发明的方法的全部或部分可以通过由可编程机器(诸如，DSP(数字信号处理器)或微控制器)执行一组指令以软件形式实现，或者通过机器或专用组件(诸如，FPGA(线场可编程门阵列)或ASIC(专用集成电路))以硬件形式实现。

图4示出了由地面移动装置部分执行的算法的步骤。

在步骤E400中，维护操作员经由网络服务器NSS将机载移动装置EMB 40连接到敏感区域OMS，从而除了别的其他方面之外可以访问飞机的人机界面MMI。

在步骤E401中，维护操作员将自己置于待维护装置TA处，并将地面移动装置EMS20连接到用户站US。

在步骤E402中，维护操作员利用地面移动装置EMS 20进行验证。例如，该验证借助于代码或输入维护操作员的指纹来进行。一旦已经执行该操作，地面移动装置EMS 20借助于网络RE与机载移动装置EMB 40建立隧道。地面移动装置EMS 20因此可以获得飞机的人机界面MMI的表示。

在步骤E403中，维护操作员利用用户站US选择待维护的飞机类型和/或待维护的装置类型。

在随后的步骤E404中，飞机的技术文档由地面移动装置EMS 20获得，并被传递到用户站US。

飞机的技术文档可以从两个源获得：借助于隧道和机载移动装置EMB从网络NNS的服务器获得，或者根据本发明从服务器30获得。然后，地面移动装置EMS 20经由网络RE向服务器30进行请求，以便作为响应，获取并接收该技术文档。

在步骤E404中，操作员在必要时选择要下载的一个报告或多个报告。例如，这些报告是包括飞机的飞行期间储存的数据的报告。代表选择的信息由地面移动装置EMS 20恢复，该地面移动装置EMS 20相应地借助于先前创建的隧道向机载移动装置EMB 40进行请求。

在步骤E405中，由地面移动装置EMS 20接收与选择对应的报告。

在步骤E406中，地面移动装置EMS 20将所接收的报告传递到用户站US。

在步骤E407中，地面移动装置EMS 20从机载移动装置EMB 40获得飞机的人机界面MMI。该飞机的人机界面MMI由机载移动装置EMB 40在先前创建的隧道中进行传递。

在步骤E407中，地面移动装置EMS 20传递飞机的人机界面MMI，以显示在用户站US的屏幕上。因此，维护操作员可以对待维护装置TA进行维护，并且可以根据由飞机的人机界面提供的信息进行各种调整，而不需要飞机驾驶舱中第三方的任何帮助。

一些维护操作可能是复杂的，并且维护操作人员可能有时需要来自专家的帮助。

维护操作员和/或航空公司有专门从事特定维护工作的人员。这些专业人员或专家不一定在维护现场。

因此，本发明为维护操作员提供了联系专家以帮助他对待维护装置进行维护操作的可能性。

在步骤E409中，地面移动装置EMS 20检测到联系专家的请求。该联系请求由维护操作员借助于用户站提出，并由地面移动装置EMS 20接收到。在此步骤中，地面移动装置EMS 20将联系专家的请求传递到服务器30。

在步骤E410中，飞机的人机界面被传递到服务器30上，以将其显示给专家。

例如，人机界面由地面移动装置传递，以将其显示给专家。

在变型中，服务器30借助于网络RE与机载移动装置EMB 40建立隧道，并从机载移动装置EMB 40获得飞机的人机界面MMI。机载移动装置EMB 40在所创建的隧道中传递飞机的人机界面MMI。

专家和维护操作员因此获得飞机维护所必需的信息。

在步骤E412中，维护操作员将用户站US与地面维护装置EMS 20断开连接，并进入飞机驾驶舱，以将机载维护装置与网络服务器NNS断开连接。

Claims

1.一种用于管理和维护包括具有高度安全性的区域的飞机的方法，所述飞机的人机界面被包括在该具有高度安全性的区域内，并且需要由维护操作员对所述飞机的位于该具有高度安全性的区域之外的待维护装置执行维护操作，其中，所述方法包括以下步骤：

-将第一装置连接到该具有高度安全性的区域，以访问所述飞机的所述人机界面，

-将第二装置连接到第三装置，所述第三装置能够显示所述飞机的所述人机界面，并且维护操作员能够借助于所述第三装置与所述飞机的所述人机界面进行交互，所述第二装置和所述第三装置位于该具有高度安全性的区域之外，

-利用所述第二装置对所述维护操作员进行验证，

-在所述第一装置与所述第二装置之间创建安全通信连接，该安全通信连接是在通信网络中借助于加密隧道创建的，从而提供受信任的区域，所述受信任的区域包括所述飞机、所述第一装置、所述第二装置，并且不包括所述第三装置，

-由所述第二装置从所述第一装置接收所述飞机的所述人机界面，并传递用于在所述第三装置上显示所述飞机的所述人机界面的信息，

-借助于电信网络将所述第二装置连接到服务器，以便借助于所述第二装置从所述服务器获得给所述第三装置的信息，所述第二装置与所述服务器的连接不借助于所创建的安全通信连接来进行。

2.根据权利要求1所述的方法，其中，从所述服务器获得的所述信息是飞机文档。

3.根据权利要求1所述的方法，其中，所获得的信息是专家与所述维护操作员的联络。

4.根据权利要求3所述的方法，其中，所述第二装置将用于显示所述飞机的所述人机界面的信息传递到所述服务器以提供给所述专家。

5.根据权利要求3所述的方法，其中，所述方法还包括下列步骤：

-在所述第一装置与所述服务器之间创建安全通信连接，该安全通信连接是在所述通信网络中创建的，

-由所述服务器接收所述第一装置中的所述飞机的所述人机界面，以将所述飞机的所述人机界面显示于该服务器以提供给所述专家。

6.一种用于管理和维护包括具有高度安全性的区域的飞机的系统，所述飞机的人机界面被包括在该具有高度安全性的区域内，并且需要由维护操作员对所述飞机的位于该具有高度安全性的区域之外的待维护装置执行维护操作，其中，所述系统包括使得所述装置执行以下步骤的电路：

-将第二装置连接到第三装置，所述第三装置能够显示所述飞机的所述人机界面，并且所述维护操作员能够借助于所述第三装置与所述飞机的所述人机界面进行交互，所述第二装置和所述第三装置位于该具有高度安全性的区域之外，

-利用所述第二装置对所述维护操作员进行验证，

-借助于电信网络将所述第二装置连接到服务器以便借助于所述第二装置从所述服务器获得给所述第三装置的信息，所述第二装置与所述服务器的连接不借助于所创建的安全通信连接来进行。