FR2912581A1 - Systeme d'enregistrement de donnees pour reseau embarque - Google Patents

Abstract

La présente invention concerne un système d'enregistrement d'informations de vol, destiné à être embarqué à bord d'un aéronef comprenant un réseau embarqué partitionné en une première zone et au moins une seconde zone, ladite première zone présentant un niveau de sécurité supérieur à la seconde zone. Ce système comprend:- au moins un dispositif d'écoute de réseau (170), dit dispositif TAP, destiné à être placé sur une liaison entre la première zone et la seconde zone et adapté à répliquer sur un port d'écoute (R) tout paquet de données transitant sur ladite liaison ;- une sonde (180) reliée au dit port d'écoute dudit dispositif et comprenant des moyens de traitement pour traiter les paquets de données reçus par la sonde ainsi qu'une mémoire de masse pour stocker les paquets de données ainsi traités.

Description

SYSTÈME D'ENREGISTREMENT DE DONNÉES POUR RÉSEAU EMBARQUÉ

DESCRIPTION 5 DOMAINE TECHNIQUE La présente invention concerne de manière générale le domaine de l'enregistrement de données à bord d'un aéronef. 10 ÉTAT DE LA TECHNIQUE ANTÉRIEURE L'enregistrement des informations de vol est communément réalisé au moyen de deux dispositifs embarqués, l'un chargé d'enregistrer les paramètres de l'avion, dénommé FDR (Flight Data Recorder) et l'autre 15 chargé d'enregistrer l'environnement sonore du cockpit, dénommé CVR (Cockpit Voice Recorder). Ces deux dispositifs, quelquefois combinés en un seul dans certains modèles récents, permettent d'analyser a posteriori le déroulement d'un incident et en 20 particulier d'en déterminer son origine. Un exemple de système d'enregistrement des informations de vol est connu du document US-A-6397128. Dans ce système, un dispositif enregistreur (FDR) collecte les paramètres de vol acquis auprès de 25 différents modules avioniques via un bus de données ARINC 717. Ce type de système d'enregistrement donne satisfaction pour des aéronefs d'architecture relativement simple mais se révèle insuffisant lorsque l'aéronef héberge un réseau de télécommunication partitionné. En effet, la complexité actuelle des réseaux embarqués, d'une part, et les exigences de sûreté d'autre part, récemment accrues par la possibilité d'accès à Internet en cabine, ont conduit a partitionner les réseaux embarqués en des zones de sécurité de niveaux différents. En pratique, un réseau embarqué est généralement partitionné en au moins une première zone dite zone sécurisée et une seconde zone, dite zone monde ouvert , de moindre niveau de sécurité. La zone sécurisée comprend notamment les systèmes d'information et de contrôle de l'avion situés dans le cockpit et de la baie avionique. La Fig. 1 illustre schématiquement un réseau embarqué 100 reliant des terminaux de télécommunication 110, par exemple un réseau AFDX comprenant des commutateurs SW reliés par des liaisons bidirectionnelles 120. Le réseau est partitionné en une zone sécurisée A et une zone de moindre niveau de sécurité B. Cette partition définit deux sous-réseaux 101 et 102 appartenant respectivement à la zone A et la zone B. De manière à prévenir tout accès à la zone sécurisée, les liaisons 130 entre les deux sous-réseaux sont unidirectionnelles (dirigées de la zone A vers la zone B), le caractère unidirectionnel étant ici représenté symboliquement par une diode.

Un premier système d'enregistrement compatible avec un réseau partitionné, envisagé par la demanderesse sans toutefois faire partie de l'art antérieur, est représenté en Fig. 2. Ce système comprend un dispositif enregistreur centralisé 160 relié au sous-réseau 101 de la zone sécurisée, d'une part, et au sous-réseau 102 de la zone de moindre niveau de sécurité, d'autre part. Les liaisons 135, 137 entre chaque sous-réseau et le dispositif enregistreur ainsi que les liaisons 130 entre les deux sous-réseaux sont de type unidirectionnel. Un pare-feu 140 est également prévu sur chacune des liaisons 135, 137 reliant le dispositif enregistreur à l'un des sous-réseaux. Le dispositif enregistreur 160 comprend un serveur Syslog et une mémoire de masse. Le serveur Syslog collecte les informations que lui transmettent des équipements présents dans chacun des sous-réseaux, par exemple des systèmes avioniques ou des ordinateurs embarqués. A partir de ces informations, le serveur crée des journaux d'évènements qu'il stocke dans la mémoire de masse. Chaque évènement donne lieu à un enregistrement comprenant généralement l'instant d'occurrence de l'évènement, un identifiant de l'équipement qui l'a généré ainsi qu'un identifiant du processus (exécution d'application, activité sur un réseau, etc.) auquel cet évènement se rattache. Au sein d'un journal, les enregistrements relatifs à un processus particulier sont classés par ordre chronologique, ce qui facilite l'analyse ultérieure du processus et le diagnostic d'un dysfonctionnement éventuel.

Afin d'accroître la sécurité du système, les pare-feux 140 sont prévus pour ne laisser passer que des flux applicatifs Syslog. Par ailleurs, ces flux sont cryptés, par exemple par le protocole de sécurisation SSL opérant entre la couche d'application et la couche de transport, assurant ainsi l'intégrité des données transmises par les équipements au serveur Syslog. Le système d'enregistrement décrit précédemment ne garantit cependant pas que les informations transmises par les équipements embarqués soient intègres. Ces informations peuvent en effet avoir été altérées lors de leur génération ou bien supprimées après génération puisque certains de ces équipements sont situés dans la zone de moindre niveau de sécurité. Ainsi les journaux enregistrés dans la mémoire du dispositif enregistreur peuvent ne pas refléter fidèlement les évènements intervenus dans les équipements embarqués. Le but de la présente invention est par conséquent de proposer un système d'enregistrement qui permette une surveillance stricte des équipements embarqués, lorsque le réseau est partitionné. EXPOSÉ DE L'INVENTION La présente invention est définie par un système d'enregistrement d'informations, destiné à être embarqué à bord d'un aéronef comprenant un réseau embarqué partitionné en une première zone et au moins une seconde zone, ladite première zone présentant un niveau de sécurité supérieur à la seconde zone, ce système comprenant : -au moins un dispositif d'écoute de réseau, dit dispositif TAP, destiné à être placé sur une liaison entre la première zone et la seconde zone, adapté à répliquer sur un port d'écoute tout paquet de données transitant sur ladite liaison ; une sonde reliée au dit port d'écoute dudit dispositif et comprenant des moyens de traitement pour traiter les paquets de données reçus par la sonde ainsi qu'une mémoire de masse pour stocker les paquets de données ainsi traités. Avantageusement, le système d'enregistrement comprend une pluralité de dispositifs TAP, chacun de ces dispositifs étant destiné à être placé sur une liaison entre la première zone et la seconde zone, ladite sonde étant reliée aux ports d'écoute respectifs desdits dispositifs TAP.

Selon une première variante, la sonde est reliée aux dits ports d'écoute par un port physique unique. Selon une seconde variante, la sonde est reliée aux dits ports d'écoute par des ports physiques distincts. Les moyens de traitement peuvent comprendre des moyens d'horodatage adaptés à adjoindre un jeton d'horodatage à chaque paquet de données reçu par la sonde. Ces moyens d'horodatage sont adaptés à garantir l'horodatage de chaque paquet de données par chiffrement d'une empreinte numérique dudit paquet et du jeton d'horodatage au moyen d'une clé privée et d'un algorithme de chiffrement asymétrique. Préférentiellement, les moyens de traitement sont adaptés à générer une signature numérique pour chaque paquet de données reçu par la sonde et à adjoindre ladite signature numérique au dit paquet avant stockage dans ladite mémoire de masse.

Lesdits moyens de traitement pourront être adaptés à effectuer un filtrage des paquets de données dès leur réception par la sonde. La sonde pourra également comprendre des moyens de compression d'information adaptés à comprimer les paquets de données traités par les moyens de traitement, préalablement à leur stockage dans la mémoire de masse. L'invention est également définie par un aéronef comprenant un réseau embarqué partitionné en une première zone et au moins une seconde zone, ladite première zone présentant un niveau de sécurité supérieur à la seconde zone, l'aéronef comprenant en outre un système d'enregistrement tel qu'exposé ci- dessus, un dispositif d'écoute de réseau dudit système étant placé sur chaque liaison entre la première et la seconde zones du réseau. BRÈVE DESCRIPTION DES DESSINS 20 D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture d'un mode de réalisation préférentiel de l'invention fait en référence aux figures jointes parmi lesquelles : 25 La Fig. 1 illustre schématiquement un réseau embarqué de type partitionné ; La Fig. 2 représente schématiquement un système d'enregistrement d'informations de vol, compatible avec un réseau embarqué de type 30 partitionné ; La Fig. 3 représente schématiquement un système d'enregistrement d'informations de vol selon un mode de réalisation de l'invention ; La Fig. 4 représente schématiquement un système d'enregistrement d'informations de vol selon un second mode de réalisation de l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS On considérera dans la suite un réseau embarqué sur un aéronef, le réseau étant partitionné en une première zone et une seconde zone, la première zone présentant un niveau de sécurité supérieur à celui de la seconde zone. Les liaisons entre première zone et la seconde zone ne sont pas nécessairement unidirectionnelles mais, lorsqu'elles sont bidirectionnelles, des pare- feux voire des systèmes IPS (Intrusion Prevention System) auront avantageusement été installés du côté de la zone sécurisée. La première zone, ci-après dénommée zone sécurisée, sera par exemple la zone avionique, comprenant tous les systèmes de contrôle et de surveillance de l'avion. La première idée à la base de l'invention est de surveiller les flux entrants et sortants de la zone sécurisée. En effet, les données transitant entre la zone sécurisée et la zone de moindre niveau de sécurité sont critiques pour la sûreté et la sécurité de l'aéronef. La surveillance des flux entrants permet notamment d'identifier les attaques et la réponse des systèmes avioniques à ces attaques.

La seconde idée à la base de l'invention est d'utiliser un système de surveillance purement passif, capable d'enregistrer le trafic de données entre les deux sous-réseaux, sans risque d'attaque de la zone sécurisée ni risque d'altération de l'enregistrement. La Fig. 3 représente un système d'enregistrement d'informations de vol, 190, relié à un réseau embarqué de type partitionné, ici en un sous-réseau 101 appartenant à une zone sécurisée et un sous-réseau 102 appartenant à une zone de moindre niveau de sécurité. Le réseau embarqué est avantageusement un réseau Ethernet full duplex de type commuté, par exemple un réseau AFDX (Avionics Full DupleX) selon la norme ARINC 669. Cependant, certaines liaisons 130 entre la première et la seconde zone peuvent être de type unidirectionnel, dirigées de la première vers la seconde zone. Chacun des sous-réseaux relie des terminaux de télécommunication 110, par exemple des équipements avioniques ou des ordinateurs de bord, au moyen de liaisons bidirectionnelles 120 reliées par des commutateurs SW. Un pare-feu 140 aura avantageusement été prévu sur chaque liaison bidirectionnelle 130 reliant la zone sécurisée à la zone de moindre niveau de sécurité. Le système d'enregistrement 190 comprend un dispositif d'écoute de réseau (Network Tap), 170, relié à une sonde 180. Il convient de noter ici que ce dispositif est également désigné communément par l'acronyme TAP (Test Access Point), voire Ethernet TAP, bien qu'il s'agisse en fait dans les deux cas de rétro- acronymes. Dans la suite, nous utiliserons cependant la dénomination TAP devenue courante.

Le dispositif TAP peut agir au niveau de la couche physique, auquel cas il joue le rôle similaire à celui d'un concentrateur (hub), ou bien au niveau de la couche liaison. Dans les deux cas, le trafic de données entrant sur le port P est systématiquement envoyé sur les ports Q et R. De même le trafic de données entrant sur le port Q est systématiquement envoyé sur les ports P et R. Le port R n'accepte aucun trafic de données entrant. En d'autres termes, le trafic entre les ports P et Q, c'est-à-dire le trafic sur la liaison bidirectionnelle 130 est systématiquement répliqué sur le port R pour être envoyé vers la sonde 180. En cas de panne électrique ou de dysfonctionnement, le dispositif TAP cesse de répliquer les flux vers le port R et se comporte comme un simple court-circuit entre les ports P et Q. La sonde 180 comprend des moyens de traitement des informations reçues du dispositif TAP et une mémoire de masse (non représentés).

Avantageusement, les moyens de traitement comprennent des moyens d'horodatage permettant de dater les informations reçues du dispositif TAP avant de les stocker dans la mémoire de masse. Par exemple, la sonde concatène à chaque paquet de données qu'elle reçoit un jeton d'horodatage correspondant à l'instant de réception du paquet. Le cas échéant, l'horodatage peut être garanti (trusted timestamping). Pour ce faire, les moyens d'horodatage appliquent une fonction de hachage au paquet reçu pour obtenir une empreinte numérique de ce paquet, et adjoignent à l'empreinte numérique ainsi obtenue le jeton d'horodatage et cryptent l'ensemble à l'aide d'une clé privée et d'un algorithme de cryptage asymétrique, connu en soi. Le jeton d'horodatage garanti ou non est concaténé au paquet de données et l'ensemble est enregistré dans la mémoire de masse. En dehors de tout horodatage, la sonde peut garantir l'intégrité des données stockées en apposant à chaque paquet une signature numérique. Pour ce faire, les moyens de traitement appliquent à chaque paquet une fonction de hachage pour obtenir une empreinte numérique de ce paquet, puis cryptent l'empreinte numérique ainsi obtenue à l'aide d'une clé privée et d'un algorithme de chiffrement asymétrique, connu en soi. La signature numérique est concaténée au paquet de données et l'ensemble est enregistré dans la mémoire de masse. Selon une première variante de réalisation, la sonde comprend des moyens de compression d'information adaptés à comprimer les paquets de données traités par les moyens de traitement avant qu'ils soient stockés dans la mémoire de masse. Selon une seconde variante de réalisation, les paquets de données reçus par la sonde sont filtrés dès réception par les moyens de traitement, par exemple au moyen de leurs adresses MAC. Ces deux variantes qui peuvent être combinées permettent d'utiliser une mémoire de masse de capacité plus faible ou, à capacité égale, d'allonger la durée de l'enregistrement.

La sonde 180 ne peut transmettre aucune information sur la liaison 135 ; elle se contente de stocker les paquets de données qu'elle reçoit, après les avoir éventuellement horodatés et/ou signés.

Si la zone sécurisée et la zone de moindre niveau de sécurité sont reliées par plusieurs liaisons bidirectionnelles 130, chaque liaison est munie d'un dispositif TAP, comme représenté en Fig. 4. Si les dispositifs TAP sont de niveau 1, c'est-à- dire opèrent au niveau de la couche physique, la sonde 180 est reliée à chacun de ces dispositifs à l'aide d'une liaison 135, chaque liaison étant alors reliée à un port physique distinct, pour permettre la discrimination des trafics écoutés.

Si les dispositifs TAP sont de niveau 2, c'est-à-dire opèrent au niveau de la couche liaison, la sonde 180 est reliée par un même port physique aux ports d'écoute respectifs des dispositifs 170 (cas non illustré), la discrimination des trafics écoutés se faisant alors par leurs adresses MAC. Dans les deux cas précédents, les informations reçues des différents dispositifs d'écoute, c'est-à-dire les paquets de données transitant sur les différentes liaisons écoutées, peuvent être stockées dans des zones distinctes de la mémoire de masse. Alternativement, pour chaque liaison écoutée, un identifiant de liaison sera adjoint aux paquets reçus de celle-ci, avant stockage dans la mémoire de masse.

Le système d'enregistrement 190 permet donc de surveiller de manière centralisée la totalité du trafic entrant et sortant de la zone sécurisée et d'en garder une trace dans la mémoire de masse. L'information stockée permet notamment de retracer tout contrôle transmis à l'extérieur de la zone sécurisée, tout acquittement éventuel reçu par celle-ci, ou encore toute attaque dirigée contre elle.

Le système d'enregistrement ne peut faire l'objet d'une attaque de la part du réseau. En effet, tout d'abord, le système ne possède pas d'adresse IP mais au plus une adresse MAC (si le dispositif TAP est de niveau 2) et n'est donc pas visible du réseau. Par ailleurs, étant donné qu'il n'exécute pas les informations qu'il reçoit mais les stocke simplement, il ne saurait être affecté par leur contenu. Enfin, aucune information ne peut être renvoyée par le système d'enregistrement vers le réseau, le port d'écoute (R) du dispositif TAP étant unidirectionnel. Ainsi, il ne serait pas possible de connaître d'éventuelles failles du système d'enregistrement en procédant par interrogation.

Claims (10)

REVENDICATIONS

1. Système d'enregistrement d'informations, destiné à être embarqué à bord d'un aéronef comprenant un réseau embarqué partitionné en une première zone et au moins une seconde zone, ladite première zone présentant un niveau de sécurité supérieur à la seconde zone, caractérisé en ce qu'il comprend : - au moins un dispositif d'écoute de réseau (170), dit dispositif TAP, destiné à être placé sur une liaison entre la première zone et la seconde zone, adapté à répliquer sur un port d'écoute (R) tout paquet de données transitant sur ladite liaison ; une sonde (180) reliée au dit port d'écoute dudit dispositif et comprenant des moyens de traitement pour traiter les paquets de données reçus par la sonde ainsi qu'une mémoire de masse pour stocker les paquets de données ainsi traités.

2. Système d'enregistrement selon la revendication 1, caractérisé en ce qu'il comprend une pluralité de dispositifs TAP, chacun de ces dispositifs étant destiné à être placé sur une liaison entre la première zone et la seconde zone, ladite sonde étant reliée aux ports d'écoute respectifs desdits dispositifs TAP.

3. Système d'enregistrement selon la revendication 2, caractérisé en ce que la sonde est reliée aux dits ports d'écoute par un port physique unique.

4. Système d'enregistrement selon la revendication 2, caractérisé en ce que la sonde est reliée aux dits ports d'écoute par des ports physiques distincts.

5. Système d'enregistrement selon l'une des revendications précédentes, caractérisé en ce que les moyens de traitement comprennent des moyens d'horodatage adaptés à adjoindre un jeton d'horodatage à chaque paquet de données reçu par la sonde.

6. Système d'enregistrement selon la revendication 5, caractérisé en ce que les moyens d'horodatage sont adaptés à garantir l'horodatage de chaque paquet de données par chiffrement d'une empreinte numérique dudit paquet et du jeton d'horodatage au moyen d'une clé privée et d'un algorithme de chiffrement asymétrique.

7. Système d'enregistrement selon l'une des revendications précédentes, caractérisé en ce que les moyens de traitement sont adaptés à générer une signature numérique pour chaque paquet de données reçu par la sonde et à adjoindre ladite signature numérique au dit paquet avant stockage dans ladite mémoire de masse.

8. Système d'enregistrement selon l'une des revendications précédentes, caractérisé en ce que lesdits moyens de traitement sont adaptés à effectuerun filtrage des paquets de données dès leur réception par la sonde.

9. Système d'enregistrement selon l'une des revendications précédentes, caractérisé en ce que la sonde comprend en outre des moyens de compression d'information adaptés à comprimer les paquets de données traités par les moyens de traitement, préalablement à leur stockage dans la mémoire de masse.

10. Aéronef comprenant un réseau embarqué partitionné en une première zone et au moins une seconde zone, ladite première zone présentant un niveau de sécurité supérieur à la seconde zone, caractérisé en ce qu'il comprend en outre un système d'enregistrement (190) selon l'une des revendications précédentes, un dispositif d'écoute de réseau (170) dudit système étant placé sur chaque liaison (130) entre la première et la seconde zones du réseau.