FR2938088A1 - Procede de securisation des donnees de vol et systeme pour mettre en oeuvre ledit procede - Google Patents

Abstract

La présente invention concerne un procédé pour sécuriser l'intégrité de données de vol d'un aéronef, acquises au cours d'un vol par un système avionique embarqué, de manière à exploiter au sol des données non corrompues, caractérisé en ce qu'il consiste : - (a) à enregistrer les données du vol dans le système avionique embarqué selon un format numérique, - (b) à enregistrer au les données critiques dans le système avionique embarqué selon un format additionnel, - (c) à constituer dans le système avionique embarqué un fichier de vol contenant les données du vol enregistrées selon les formats, - (d) à transférer le fichier de vol vers un ordinateur de contrôle au sol, lequel permet d'afficher les données enregistrées selon le format numérique, - (e) à transférer le fichier de vol vers des moyens d'interprétation pour générer des données d'impression, - (f) à comparer le résultat de l'affichage aux données d'impression, - (g) et à orienter ou modifier, en réponse à cette comparaison, des opérations de maintenance.

Description

Procédé de sécurisation des données de vol et système pour mettre en oeuvre ledit procédé La présente se rapporte au domaine technique général de la gestion des données de vol d'un aéronef et notamment d'un hélicoptère. L'invention concerne plus particulièrement le transfert et la mise à disposition au sol des données de vol à des fins d'analyse et d'exploitation au sol. Ces données, ou certaines d'entre elles, peuvent en effet être corrompues par exemple par des moyens d'affichage et/ou d'impression, conduisant à des informations erronées pour l'utilisateur. Des données corrompues doivent être comprises comme des données erronées ou altérées, de sorte qu'elles ne reflètent plus les données de vol réelles. L'exploitation par l'utilisateur d'informations erronées peut être préjudiciable et s'avérer dangereuse pour l'exploitation de l'aéronef dans la mesure où l'analyse et l'exploitation de ces informations erronées déterminent au moins en partie les opérations de maintenance de l'aéronef. Les données de vol proviennent d'un système avionique embarqué et sont en général transférées sur des moyens de dépouillement au sol à la fin de chaque vol ou mission. Il convient donc de concevoir des mécanismes de sécurité garantissant l'intégrité des données de vol pendant leur transfert au sol et lors de leur dépouillement.

Actuellement, il est connu que chaque donnée de vol, par exemple une indication d'un dépassement d'un seuil de température ou de vitesse de rotation d'un rotor, est validée par le pilote ou un membre d'équipage avant son transfert électronique vers les moyens de dépouillement au sol.

Un tel contrôle n'est cependant pas dépourvu d'inconvénients. En effet, même si toutes les données de vol sont validées, l'opération de transfert peut corrompre certaines données de vol avant qu'elles ne parviennent aux moyens de dépouillement au sol. La corruption de données de vol peut aussi avoir lieu directement sur les moyens de dépouillement au sol, sur lesquels lesdites données ont été transférées à des fins d'analyse. Selon les standards aéronautiques applicables, les matériels utilisés en général pour constituer des systèmes avioniques et des moyens de dépouillement au sol sont développés suivant des niveaux d'assurance développement (DAL pour Design Assurance Level), A, B, C, D ou E définis à partir des effets potentiels sur la sécurité du vol, qualifiés par les criticités respectivement Catastrophiques, Hasardeuse, Majeure, Mineure et Sans Effet. La criticité Catastrophique correspondant au DAL A étant la plus élevée et la criticité Sans Effet correspondant au DAL E étant la plus basse. Chaque niveau reflète une qualité du développement qui induit une maîtrise plus ou moins élevée des défaillances potentielles de l'équipement. Un niveau donné garantit donc que l'équipement a été développé selon des règles de conception plus ou moins sévères et que cette conception a pris en compte plus ou moins de modes de défaillance des constituants de cet équipement.

Il en est de même pour les logiciels chargés sur ces matériels et qui vont gérer les données de vol. Ces différents niveaux d'assurance développement (DAL) sont connus en tant que tel et ne seront donc pas présentés plus en détails. Par ailleurs, il est généralement demandé aux matériels/logiciels de systèmes avioniques, utilisés pour fournir des fonctions les plus critiques sur le plan de la sécurité de vol, de justifier l'absence de pannes simples conduisant à des évènements aux répercussions potentiellement catastrophiques pour l'aéronef et ses occupants. On pourra se reporter aux normes CS 25, CS 27, CS 29 et FAR 25, FAR 27, FAR 29. Les données de vol se rapportant à la dernière mission de l'aéronef, englobent un ensemble d'enregistrements d'évènements qui aident à définir et à anticiper les opérations de maintenance et en particulier des données délivrées par un système appelé H.U.M.S. (Health and Usage Monitoring System), qui surveille la santé des pièces de l'aéronef et leur usage. Le système H.U.M.S. comprend le système avionique embarqué pour enregistrer les données de vol et une station au sol utilisée par l'opérateur de maintenance pour exploiter lesdites données.

Le système avionique embarqué utilise de préférence deux calculateurs distincts, l'un délivrant des données de vol se rapportant à la santé d'équipements de l'aéronef et l'autre délivrant des données se rapportant à l'usage des équipements de l'aéronef. La présente invention peut s'appliquer en particulier à ces 20 deux types de données de vol, mais aussi à tout type de données utiles pour l'analyse au sol. Les systèmes avioniques embarqués participant à des fonctions critiques sont donc généralement développés pour garantir la sécurité, se traduisant par une assurance de qualité de 25 développement allant jusqu'à DAL A, et en cas de besoin par des précautions de conception ou d'architecture garantissant l'absence de pannes simples conduisant à des évènements aux répercussions potentiellement catastrophiques sur l'aéronef et ses occupants.

Les données de vol sont donc rattachées à des fonctions aux niveaux de sécurité sur le vol plus ou moins importants. On distingue alors les données en fonction de leur nature. Certaines données de vol appelées impactant la sécurité sont associées à des fonctions présentant par une criticité Catastrophique, Hasardeuse ou Majeure ou un degré d'assurance développement DAL A, DAL B ou DAL C. Ces données peuvent, si elles sont erronées, conduire à des effets qui mettent en jeu la sécurité de l'aéronef ou des occupants de l'aéronef.

Les autres données de vol, appelées sans effet notable sur la sécurité , sont associées à des fonctions présentant une criticité Mineure ou Sans Effet et un degré d'assurance développement DAL D ou DAL E. Ces données de vol peuvent, si elles sont erronées conduire à des effets dont les conséquences seront moins graves. Dans la suite de la description, il convient d'entendre les termes produit standard comme un produit commercialisé en grand nombre sans avoir été développé selon les règles aéronautiques et dont les éventuelles modifications de caractéristiques, par exemple au niveau de ses composants ou de ses performances, ne peuvent être maîtrisées par l'utilisateur, en l'occurrence un industriel hélicoptériste. De tels produits ou matériels se voient attribué le mot COTS , signifiant Commercial Of The Shelves .

Les moyens de dépouillement au sol sont généralement constitués d'une application développée par un industriel et de ressources de calcul telles qu'un ordinateur de contrôle au sol COTS , fonctionnant par exemple avec un environnement WINDOWS .

L'application est généralement développée avec un niveau DAL D et les ressources de calcul sont des COTS présentant de ce fait un niveau DAL E. L'utilisation de ressources de calcul COTS ne permet pas par ailleurs, de justifier l'absence de pannes simples pouvant conduire à des évènements redoutés. Dans ces conditions, il est impossible de garantir l'exactitude d'informations ou de données impactant la sécurité, lors de leur exploitation au sol. II en résulte qu'il est impossible de garantir dans ces conditions, l'intégrité de données dites impactant la sécurité présentant une criticité Catastrophique, Hasardeuse ou Majeure, jusqu'à et pendant leur exploitation au sol. Les objets assignés à l'invention visent par conséquent à proposer un nouveau procédé de transfert et d'exploitation de données de vol, ne présentant pas les inconvénients énumérés ci-dessus et garantissant l'intégrité des données transférées au sol ou permettant à l'opérateur de maintenance d'identifier les données qui auraient été corrompues lors de leur transfert ou lors de leur exploitation.

Les objets assignés à l'invention visent également à proposer, un nouveau procédé de transfert et d'exploitation de données de vol dont la mise en oeuvre est simple, fiable et économique. Les objets assignés à l'invention visent également à fournir un nouveau système de transfert et d'exploitation de données de vol, apte à mettre en oeuvre le procédé précité, en garantissant la non corruption des données de vol, lors de leur transfert et de lors de leur exploitation.

Les objets assignés à l'invention sont atteints à l'aide d'un procédé de transfert et d'exploitation de données pour sécuriser l'intégrité de données de vol d'un aéronef, acquises au cours d'un vol par un système avionique embarqué, de manière à exploiter au sol des données non corrompues lors de leur transfert et de leur exploitation au sol, caractérisé en ce qu'il consiste : - (a) à enregistrer les données de vol dans le système avionique embarqué selon un format numérique, pour obtenir des données numériques comprenant les données de vol impactant la sécurité et les données de vol sans effet notable sur la sécurité , - (b) à enregistrer au moins les données de vol impactant la sécurité dans le système avionique embarqué selon un format additionnel, dissimilaire du format numérique, du genre pages de chaînes de caractères, pour obtenir des données additionnelles, - (c) à mémoriser séparément les données de vol enregistrées en vol ou au sol selon des formats différents aux étapes (a) et (b), - (d) à transférer les données de vol ainsi mémorisées vers un ordinateur de contrôle au sol, lequel permet d'afficher les données numériques sous forme de données numériques d'affichage à l'aide d'un écran, - (e) à transférer les données de vol ainsi mémorisées vers des moyens d'interprétation complémentaires, pour générer des données d'affichage et/ou des données d'impression se rapportant aux données additionnelles, - (f) à comparer au sol le résultat de l'affichage des données numériques d'affichage aux données additionnelles pour déceler des différences résultant d'une ou plusieurs données de vol corrompues, - (g) et à orienter ou modifier, en réponse à cette comparaison, des opérations de maintenance.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser en tant que format additionnel un format dissimilaire du format numérique. Le format additionnel peut être constitué par exemple de pages de chaînes de caractères du type codage ASCII.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser lors de l'étape de mémorisation, au moins un fichier. Le ou les fichiers incluent par exemple un polynôme de codage, du type CRC, pour sécuriser la mémorisation d'une part et le transfert selon l'étape (e) d'autre part. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser un système d'exploitation standard, du genre WINDOWS , ainsi qu'un logiciel applicatif, chargés sur l'ordinateur de contrôle au sol, aptes à exploiter les données numériques et les données additionnelles. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à agencer à l'identique les données additionnelles et les données de numériques pour faciliter une opération de comparaison effectuée par un opérateur.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser l'écran de l'ordinateur de contrôle au sol pour afficher les données d'affichage.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser un moyen d'affichage complémentaire, du genre écran, pour afficher les données d'affichage.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser des moyens d'interprétation complémentaires associés à une imprimante, pour éditer sur papier les données d'impression et mettre à disposition d'un opérateur un document imprimé pour l'opération de comparaison avec les données numériques d'affichage visualisées sur l'écran. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser en tant que moyens d'interprétation complémentaires, des fonctions de base de l'ordinateur de contrôle, de manière à interpréter les données additionnelles et à générer les données d'affichage, lesquelles sont ensuite affichées. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à constituer dans le système avionique embarqué, lors de l'étape (c) de mémorisation, un premier fichier de vol contenant les données numériques et un second fichier de vol contenant les données additionnelles. A titre d'exemple, il est aussi envisageable de remplacer les premier et second fichiers par un fichier unique contenant de façon segmentée les données numériques d'une part et les données additionnelles d'autre part.

Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à transférer les premier et second fichiers de vol vers l'ordinateur de contrôle au sol et vers les moyens d'interprétation complémentaires, respectivement par l'intermédiaire d'au moins un premier support de mémoire amovible et d'au moins un second support de mémoire amovible ou par l'intermédiaire d'un unique support de mémoire amovible. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à transférer au moins le premier fichier de vol ou une première segmentation de fichier vers l'ordinateur de contrôle au sol par l'intermédiaire d'un unique ou d'un premier support de mémoire amovible et à transférer au moins le second fichier de vol ou une seconde segmentation du fichier vers les moyens d'interprétation complémentaires par l'intermédiaire d'une liaison de communication du genre Ethernet entre le système avionique embarqué et un dispositif de lecture du genre PDA , lequel est susceptible d'entrer en communication avec les moyens d'interprétation complémentaires. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser des moyens d'interprétation complémentaires intégrés dans l'appareil de lecture pour générer les données d'impression et d'affichage. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser un moyen de communication pour 20 transférer les données d'impression à une imprimante. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à utiliser un moyen de communication pour transférer les données d'affichage vers l'écran. Selon un exemple de mise en oeuvre, le procédé conforme à 25 l'invention consiste à utiliser un moyen de communication pour transférer les données d'affichage vers un moyen d'affichage complémentaire. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention consiste à générer à partir des données impactant la sécurité enregistrées selon le format numérique, une première image A en traduisant chaque information des dites données par des caractères puis en traduisant chacun de ces caractères par un ensemble de pixels d'une première couleur, à générer à partir des données impactant la sécurité enregistrées selon le format additionnel, une seconde image B en traduisant chaque caractère par un ensemble de pixels d'une seconde couleur et à superposer les images A,B ainsi obtenues pour déceler d'éventuelles zones dont la coloration est différente de la coloration obtenue par la superposition des pixels de première et de seconde couleurs de caractères identiques, lesdites zones permettant d'identifier des données de vol corrompues. Les objets assignés à l'invention sont également atteints à l'aide d'un système de transfert et d'exploitation de données pour mettre en oeuvre le procédé conforme à l'invention et caractérisé en ce qu'il comprend : - des moyens d'enregistrement, intégrés au système avionique embarqué et susceptibles d'enregistrer des données de vol selon un format numérique et selon un format additionnel, dissimilaire dudit format numérique, - au moins un premier fichier de vol ou au moins une première segmentation d'un fichier, généré par le système avionique embarqué et contenant les données de vol enregistrées selon le format numérique, - au moins un second fichier de vol ou une seconde segmentation du fichier, généré par le système avionique embarqué et contenant les données de vol enregistrées selon le format additionnel, - un ordinateur de contrôle au sol équipé d'un écran et chargé avec d'une part un système d'exploitation standard du genre WINDOWS ou autre et d'autre part un logiciel applicatif pour exploiter et afficher les données de vol enregistrées selon le format numérique, - au moins un premier support de mémoire amovible, contenant au moins le premier fichier de vol ou la première segmentation et destiné à transférer au moins le premier fichier de vol vers l'ordinateur de contrôle au sol, ou des moyens pour établir une liaison GSM entre le système avionique embarqué et l'ordinateur de contrôle au sol, transmettant au moins le premier fichier de vol ou la première segmentation, - des moyens de transfert pour acheminer le second fichier de vol ou la seconde segmentation, vers des moyens d'interprétation complémentaires générant des données additionnelles à partir des données de vol enregistrées selon le format additionnel, du genre pages de chaînes de caractères, - et des moyens pour afficher ou des moyens pour imprimer les données additionnelles. Selon un exemple de réalisation du système conforme à l'invention, les moyens de transfert sont constitués par le premier support de mémoire amovible et par un second support de mémoire amovible contenant le second fichier de vol ou la seconde segmentation. Selon un autre exemple de réalisation du système conforme à l'invention, les moyens de transfert comportent une liaison de communication du genre liaison Ethernet entre le système avionique embarqué et un appareil de lecture du genre PDA , lequel comporte des moyens pour communiquer avec les moyens d'interprétation complémentaires et transmet ainsi les données additionnelles pour obtenir les données d'impression ou d'affichage. Selon un autre exemple de réalisation du système conforme à l'invention, les moyens de transfert comportent une liaison de communication du genre liaison Ethernet entre le système avionique embarqué et un appareil de lecture du genre PDA , lequel comporte les moyens d'interprétation complémentaires pour générer les données d'affichage et/ou les données d'impression. Un avantage de la présente invention réside dans l'amélioration de la sécurité d'exploitation d'un aéronef, en complément d'autres mécanismes de sécurité, grâce à un contrôle de l'intégrité des données de vol transmises depuis l'aéronef vers l'exploitant (opérateur). Ce contrôle garantit la détection par l'opérateur d'une altération des données lors du transfert et de l'exploitation. Un avantage de la présente invention réside dans une identification facile des données de vol corrompues parmi celles qui sont transférées et exploitées au sol. Par conséquent, l'opérateur n'aura besoin de se référer aux informations disponibles dans le système avionique embarqué ou de se référer à l'avis des membres d'équipage uniquement lorsqu'une corruption de donnée aura été détectée. L'analyse des informations du vol pouvant être par défaut, grâce au procédé, entièrement indépendante des membres d'équipage et des indications fournies dans l'aéronef. Un autre avantage est obtenu dans la mesure où le système 30 conforme à l'invention permet de traiter des données impactant la sécurité , donc associées à des fonctions présentant des criticités Catastrophique, Hasardeuse ou Majeure, tout en utilisant des moyens dont les niveaux d'assurance développement correspondent aux niveaux D, E. Ceci est possible grâce à l'utilisation de deux types dissimilaires de données de vol, garantissant ainsi de façon raisonnable l'absence de cause commune d'erreur dans le transfert et dans le dépouillement au sol desdites données de vol. L'invention et ses avantages apparaîtront également avec plus de détails dans le cadre de la description qui suit, avec un exemple de réalisation donné à titre illustratif en référence aux figures annexées dans lesquelles - la figure 1, est une illustration schématique générale et partielle d'un exemple de mise en oeuvre du procédé de transfert et d'exploitation de données conforme à l'invention, - la figure 2, est une illustration d'un premier mode de mise en oeuvre du procédé de transfert et d'exploitation de données conforme à l'invention de la figure 1, - la figure 3 est une illustration d'un second mode de mise en oeuvre du procédé de transfert et d'exploitation de données conforme à l'invention de la figure 1, - la figure 4 est une illustration d'un troisième mode de mise en oeuvre du procédé de transfert et d'exploitation de données conforme à l'invention de la figure 1, - la figure 5 est une illustration schématique d'une variante d'exécution du premier mode de mise en oeuvre du procédé de transfert et d'exploitation de données de la figure 2, - et les figures 6, 7 et 8 sont des illustrations schématiques d'exemples de réalisation d'un système de transfert et d'exploitation de données conforme à l'invention. Les éléments structurellement et fonctionnellement identiques et présents sur plusieurs figures distinctes, sont affectés d'une seule et même référence numérique ou alphanumérique. Dans la suite, les termes fichier de vol devront par ailleurs être compris au sens large, c'est-à-dire englobant de façon 10 générale un ensemble de données de vol . La figure 1 illustre un exemple de mise en oeuvre du procédé de transfert et d'exploitation de données de vol. Il s'agit par exemple des données de vol d'un aéronef, acquises par un système avionique embarqué 1. 15 Les données de vol sont par exemple obtenues par des paramètres de vol, des paramètres de fonctionnement des équipements, des moteurs ou de toute autre partie fonctionnelle de l'aéronef, surveillées par le système avionique embarqué 1. Selon l'étape (a), le procédé consiste à enregistrer les 20 données du vol dans le système avionique embarqué 1 selon un format numérique, lesdites données du vol comprenant les données de vol impactant la sécurité et les données de vol sans effet notoire sur la sécurité . Ces données sont appelées données numériques 2 dans la 25 suite de la description. Ces données numériques 2 sont enregistrées à l'aide de moyens d'enregistrement 3 connus en tant que tel et illustrés à la figure 4.

Selon l'étape (b), le procédé consiste à enregistrer au moins les données de vol impactant la sécurité dans le système avionique embarqué 1, selon un format additionnel, dissimilaire du format numérique, par exemple en pages de chaînes de caractères, du type codage ASCII. Ces données sont appelées données additionnelles 4 dans la suite de la description et sont enregistrées par des moyens d'enregistrement additionnels 5, connus également et illustrés à la figure 4. Ces moyens d'enregistrement additionnels 5 utilisent par exemple les ressources d'une bibliothèque de pages de chaînes de caractères correspondant au format additionnel. Les moyens d'enregistrement 3 et les moyens d'enregistrement additionnels 5 font partie du système avionique embarqué 1. Selon l'étape (c), le procédé consiste ensuite à mémoriser séparément les données de vol, enregistrées en vol ou au sol selon les deux formats distincts aux étapes précédentes. La mémorisation peut se faire à l'aide d'un fichier de vol 6 dans lequel les données de vol enregistrées selon des formats différents sont mémorisées séparément. On peut parler aussi de segmentation des données dans le fichier de vol 6. Alternativement la mémorisation peut se faire à l'aide d'un premier fichier de vol 6a et d'un second fichier de vol 6b distinct, contenant chacun les données de vol enregistrées selon un format distinct.

Le système avionique embarqué 1 est développé selon les règles aéronautiques correspondant au niveau de sécurité des fonctions utilisatrices des données manipulées. Les étapes (a) à (c) bénéficient donc d'un traitement par le système avionique embarqué 1 considéré comme suffisamment sûr selon les règles aéronautiques.

Selon l'étape (d), le procédé consiste à transférer les données de vol 2, 4 vers un ordinateur de contrôle au sol 7, illustré par exemple aux figures 2, 3 et 4, lequel permet d'afficher les données numériques 2 à l'aide d'un écran 8.

Selon l'étape (e), le procédé consiste à transférer au moins les données additionnelles 4 vers des moyens d'interprétation complémentaires 7a pour générer des données d'affichage 4a et/ou des données d'impression 4b, se rapportant aux données additionnelles 4.

Selon l'étape (f), le procédé consiste à comparer le résultat de l'affichage des données numériques 2 aux données d'affichage 4a ou aux données d'impression 4b, pour déceler d'éventuelles différences résultant de données de vol corrompues. Selon l'étape (g), le procédé consiste ensuite à orienter ou à modifier, en réponse à cette comparaison, des opérations de maintenance. Selon un exemple de mise en oeuvre, le procédé consiste à utiliser un système d'exploitation standard, du type WINDOWS , LINUX ou autre, ainsi qu'un logiciel applicatif, par exemple standard, chargés sur l'ordinateur de contrôle au sol 7, pour exploiter les données numériques 2. Ces dernières peuvent être interprétées par l'ordinateur de contrôle au sol 7 et par le logiciel applicatif pour diverses opérations de calcul, de logistique ou autres.

Selon un exemple de mise en oeuvre, le procédé consiste à utiliser en tant que moyens d'interprétation, des fonctions de base de l'ordinateur de contrôle au sol 7, de manière à interpréter les données numériques 2 et à générer des données numériques d'affichage 2a.

Avantageusement, le procédé conforme à l'invention peut consister à agencer à l'identique les données d'affichage 4a ou les données d'impression 4b et les données numériques d'affichage 2a, pour faciliter une opération de comparaison effectuée par un opérateur. Cet agencement est par exemple obtenu par l'intermédiaire de fonctions de base de l'ordinateur de contrôle au sol 7 et par l'intermédiaire du logiciel applicatif. Le procédé conforme à l'invention, selon un exemple de mise en oeuvre, consiste également à utiliser les fonctions de bases de l'ordinateur de contrôle au sol 7 pour réaliser les moyens d'interprétation complémentaires 7a, de manière à interpréter les données additionnelles 4 et générer les données d'affichage 4a. Selon un exemple de mise en oeuvre, le procédé conforme à l'invention et illustré à la figure 2, consiste à utiliser l'écran 8 pour afficher les données d'affichage 4a. Ces dernières peuvent ainsi être affichées avec les données numériques d'affichage 2a sur des parties juxtaposées de l'écran 8. L'opérateur peut ainsi comparer deux images A et B juxtaposées sur l'écran 8. Selon l'exemple de mise en oeuvre illustré à la figure 4, le procédé consiste à utiliser un moyen d'affichage complémentaire 8a, du type écran complémentaire, pour visualiser les données d'affichage 4a. L'opérateur dispose alors de deux moyens de visualisation distincts pour afficher les images A et B correspondant respectivement aux données numériques d'affichage 2a et aux données d'affichage 4a. Selon un autre exemple de mise en oeuvre illustré à la figure 3, le procédé consiste à utiliser des moyens d'interprétations complémentaires 7a, associés à un moyen d'impression du type imprimante 9, pour éditer sur papier les données d'impression 4b et mettre à disposition de l'opérateur un document imprimé à des fins de comparaison avec les données numériques d'affichage 2a. Le procédé conforme à l'invention consiste par exemple à constituer dans le système avionique embarqué 1, lors de l'étape (c), un premier fichier de vol 6a contenant les données numériques 2 et un second fichier de vol 6b contenant les données additionnelles 4. Le procédé conforme à l'invention consiste par exemple à transférer les premier et second fichiers de vol (6a, 6b) vers l'ordinateur de contrôle au sol (7) et vers les moyens d'interprétation complémentaires (7a), respectivement par l'intermédiaire d'un unique support de mémoire amovible (10) ou par l'intermédiaire d'au moins un premier support de mémoire amovible (10a) et d'au moins un second support de mémoire amovible (10b). Les fichiers 6a et 6b peuvent aussi être remplacés par le fichier unique 6. On pourra se reporter par exemple aux figures 6 à 8. Selon un exemple de mise en oeuvre, le procédé consiste donc à transférer le fichier de vol 6 vers l'ordinateur de contrôle au sol 7 et vers les moyens d'interprétation complémentaires 7a, par l'intermédiaire du support de mémoire amovible 10. Selon un autre exemple de mise en oeuvre, le procédé de transfert et d'exploitation de données conforme à l'invention consiste à transférer le fichier de vol 6 vers l'ordinateur de contrôle au sol 7 par l'intermédiaire du support de mémoire amovible 10 et à transférer ledit fichier de vol 6 vers les moyens d'interprétation complémentaires 7a par l'intermédiaire d'une liaison Ethernet 11.

Cette dernière est établie entre le système avionique embarqué 1 et un dispositif de lecture 12 du type PDA ou ordinateur portable, lequel est susceptible d'entrer en communication avec les moyens d'interprétation complémentaires 7a, lesquels sont par exemple intégrés aux moyens de commande de l'imprimante 9. Selon un autre exemple de mise en oeuvre, le procédé consiste à utiliser le moyen d'affichage complémentaire 8a, du type écran, pour visualiser les données d'affichage 4a. Dans ce cas, on peut envisager que les moyens d'interprétation complémentaires 7a sont intégrés au dispositif de lecture 12. Le procédé conforme à l'invention consiste donc à utiliser un moyen de communication, du type liaison filaire, infrarouge ou autre pour transférer les données d'affichage 4a vers l'écran 8 ou vers le moyen d'affichage complémentaire 8a ou pour transférer les données d'impression 4b vers l'imprimante 9. Selon un autre exemple de mise en oeuvre, le procédé consiste à générer à partir des données impactant la sécurité et enregistrées selon le format numérique, la première image A en traduisant chaque caractère des dites données par un ensemble de pixels d'une première couleur et à générer à partir des données impactant la sécurité et enregistrées selon le format additionnel, la seconde image B en traduisant chaque caractère par un ensemble de pixels d'une seconde couleur différente de la première couleur. Selon cet exemple de mise en oeuvre, par exemple illustré partiellement à la figure 5, le procédé consiste à superposer les images A et B ainsi obtenues sur l'écran 8, pour déceler d'éventuelles zones d'erreur dont la coloration est différente de la coloration obtenue par la superposition des pixels de la première et de la seconde couleur au niveau des caractères identiques superposés. Les zones d'erreur permettant d'identifier des données corrompues sont celles présentant une dissemblance chromatique par rapport à la coloration obtenue par superposition de la première et de la seconde couleur. Les zones d'erreur présentent alors une coloration correspondant à la première couleur ou à la seconde couleur et sont par conséquent facilement repérables. Selon un exemple de mise oeuvre du procédé conforme à l'invention, on utilise également avant l'enregistrement des données numériques 2 et des données additionnelles 4 un polynôme de codage du type CRC pour coder lesdites données. Les données 2, 4 sont donc enregistrées sous forme numérique et sous forme additionnelle dans un fichier complété avantageusement par un polynôme de codage (CRC) pour leur transfert à la station au sol. Ce fichier sera ensuite décodé avec le polynôme de codage correspondant au sol, en vérifiant la cohérence des données numériques 2 et additionnelles 4 avec le polynôme de codage, notamment avant de générer les données numériques d'affichage 2a, les données d'affichage 4a et les données d'impression 4b. La présente invention concerne également un système de transfert et d'exploitation de données pour mettre en oeuvre le procédé tel que présenté ci-dessus. Le système de transfert de données est illustré schématiquement aux figures 6 à 8.

Le système de transfert et d'exploitation de données comprend des moyens d'enregistrement 3 et 5, intégrés au système avionique embarqué 1 et susceptibles d'enregistrer des données du vol selon deux formats différents se traduisant par l'obtention des données numériques 2 et des données additionnelles 4.

Le système de transfert et d'exploitation de données comprend également le fichier de vol 6 généré par le système avionique embarqué 1 et contenant les données du vol numériques 2 et additionnelles 4, enregistrées selon chaque format de façon segmentée. Cela signifie que l'on utilise par exemple des zones de mémoire différentiées par des adresses. Il est aussi envisageable d'utiliser un premier fichier de vol 6a et un second fichier de vol 6b contenant respectivement les données numériques 2 et les données additionnelles 4.

Le système de transfert et d'exploitation de données comprend également l'ordinateur de contrôle au sol 7 équipé de l'écran 8 et chargé avec un système d'exploitation standard du type WINDOWS et avec un logiciel applicatif pour exploiter les données numériques 2 et pour afficher lesdites données numériques d'affichage 2a. Le système de transfert et d'exploitation de données comprend également au moins le premier support de mémoire amovible 10a, contenant le fichier de vol 6 et destiné à transférer ledit fichier de vol 6 vers l'ordinateur de contrôle au sol 7.

Le système conforme à l'invention comprend également des moyens de transfert pour acheminer le fichier de vol 6 vers les moyens d'interprétation complémentaires 7a, générant les données d'affichage 4a et/ou les données d'impression 4b à partir des données additionnelles 4. Les moyens d'interprétation complémentaires 7a sont intégrés par exemple à l'ordinateur de contrôle au sol 7. Les moyens de transfert sont par exemple constitués par le second support de mémoire amovible 10b. On pourra se reporter à la figure 6 à 8.

Le système de transfert de données comprend également des moyens pour afficher les données d'affichage 4a ou des moyens pour imprimer les données d'impression 4b. Selon l'exemple de réalisation des figures 5 ou 6, les 5 données numériques d'affichage 2a et les données d'affichage 4a sont visualisées sur le même écran 8. Selon un autre exemple de réalisation, illustré à la figure 7, les données d'impression 4b et les données d'affichage 4a sont transmises par l'ordinateur de contrôle au sol 7 et les moyens 10 d'interprétation complémentaires 7a, respectivement à l'imprimante 9 et à l'écran complémentaire 8a. Ces différentes possibilités sont matérialisées respectivement par des voies V1 et V2 à la figure 7. Selon variante de réalisation, la voie V1 permet d'utiliser des moyens d'interprétation complémentaires 7a intégrés dans 15 l'imprimante 9. Selon une variante de réalisation du système de transfert et d'exploitation de données conforme à l'invention, représentée schématiquement à la figure 8, les moyens de transfert comportent une liaison de communication, du type liaison Ethernet 11, entre le 20 système avionique embarqué 1 et l'appareil de lecture 12, du type PDA , lequel comporte les moyens nécessaires pour communiquer avec les moyens d'interprétation complémentaires 7a. L'appareil de lecture 12 peut ainsi transmettre par liaison 25 filaire ou infrarouge, les données d'affichage 4a vers l'écran 8, ou vers l'écran complémentaire 8a et les données d'impression 4b vers l'imprimante 9, respectivement selon les voies V3, V4 et V5 schématisées par des flèches discontinues à la figure 8.

Les voies V3, V4 et V5 correspondent ainsi à différentes possibilités de réalisation du système de transfert et d'exploitation de données conforme à l'invention. Dans l'hypothèse de l'utilisation de la voie V3 ou de la voie V4, l'appareil de lecture 12 intègre les moyens d'interprétation complémentaires 7a pour générer les données d'affichage 4a. II peut en être de même pour la voie V5, selon laquelle l'appareil de lecture 12 peut générer les données d'impression 4b. On obtient ainsi des résultats remarquables dans la mesure où le procédé et le système conformes à l'invention permettent de sécuriser l'ensemble de la fonction enregistrement / transfert / exploitation des données impactant la sécurité et ce malgré l'utilisation de niveaux de développement faibles des ressources au sol (COTS, DAL D, DAL E).

Une corruption simultanée et cohérente des données 2 et 4 n'est pas envisageable grâce à la nature dissimilaire des données numériques 2 et des données additionnelles 4. En outre, le transfert des données 2, 4 depuis le système avionique 1 vers les moyens au sol peut être sécurisé à l'aide d'un polynôme de codage (CRC), constituant un élément de sécurité complémentaire. II convient de noter par ailleurs que le système avionique 1 est développé en cohérence avec les objectifs de sécurité liés aux risques potentiels associés à des données erronées. II n'est donc pas nécessaire de rechercher une quelconque altération de données de vol au niveau du système avionique embarqué 1. Naturellement, la présente invention est sujette à de nombreuses variations quant à sa mise en oeuvre. Bien que plusieurs modes de réalisations et de mise en oeuvre aient été décrits, on comprend bien qu'il n'est pas concevable d'identifier de manière exhaustive tous les modes possibles. Il est bien sûr envisageable de remplacer un moyen décrit ou un étape décrite par un moyen équivalent ou une étape équivalente sans sortir du cadre de la présente invention.

Claims (23)

1. REVENDICATIONS1. Procédé de transfert et d'exploitation de données pour sécuriser l'intégrité de données de vol d'un aéronef, acquises au cours d'un vol par un système avionique embarqué (1), de manière 5 à exploiter au sol des données non corrompues lors de leur transfert et de leur exploitation au sol, caractérisé en ce qu'il consiste : - (a) à enregistrer les données de vol dans le système avionique embarqué (1) selon un format numérique, pour 10 obtenir des données numériques (2) comprenant les données de vol impactant la sécurité et les données de vol sans effet notoire sur la sécurité , - (b) à enregistrer au moins les données de vol impactant la sécurité dans le système avionique 15 embarqué (1) selon un format additionnel, dissimilaire du format numérique, du genre pages de chaînes de caractères, pour obtenir des données additionnelles (4), - (c) à mémoriser séparément les données de vol enregistrées en vol ou au sol selon des formats différents 20 aux étapes (a) et (b), - (d) à transférer les données de vol ainsi mémorisées vers un ordinateur de contrôle au sol (7), lequel permet d'afficher les données numériques (2) sous forme de données numériques d'affichage (2a) à l'aide d'un écran 8 25 ( ), - (e) à transférer les données de vol ainsi mémorisées vers des moyens d'interprétation complémentaires (7a), pour générer des données d'affichage (4a) et/ou desdonnées d'impression (4b) se rapportant aux données de vol additionnelles (4), - (f) à comparer au sol le résultat de l'affichage des données numériques d'affichage (2a) aux données d'affichage (4a) ou aux données d'impression (4b) pour déceler des différences résultant d'une ou plusieurs données de vol corrompues, - (g) et à orienter ou modifier, en réponse à cette comparaison, des opérations de maintenance.
2. 2. Procédé selon la revendication 1, caractérisé en ce qu'il consiste à utiliser en tant que format additionnel, un format dissimilaire du format numérique.
3. 3. Procédé selon la revendication 1 ou 2, caractérisé en ce qu'il consiste à utiliser en tant que format 15 additionnel, des pages de chaînes de caractères du genre codage ASCII.
4. 4. Procédé selon l'une quelconque des revendications1 à 3, caractérisé en ce qu'il consiste à utiliser lors de l'étape (c) de 20 mémorisation, au moins un fichier. incluant un polynôme de codage du type CRC pour sécuriser la mémorisation et le transfert.
5. 5. Procédé selon la revendication 4, caractérisé en ce qu'il consiste à utiliser un polynôme de codage 25 du type CRC, pour sécuriser la mémorisation d'une part et le transfert lors de l'étape (e) d'autre part.
6. 6. Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'il consiste à utiliser un système d'exploitation standard, du type WINDOWS , ainsi qu'un logiciel applicatif, chargés sur l'ordinateur de contrôle au sol (7), aptes à exploiter les données numériques (2) et les données additionnelles (4).
7. 7. Procédé selon l'une quelconque des revendications 1 à 6, caractérisé en ce qu'il consiste à agencer à l'identique les données additionnelles (4) et les données numériques (2) pour faciliter une opération de comparaison effectuée par un opérateur.
8. 8. Procédé selon l'une quelconque des revendications 1 à 7 caractérisé en ce qu'il consiste à utiliser l'écran (8) de l'ordinateur de contrôle au sol (7) pour afficher les données d'affichage (4a).
9. 9. Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce qu'il consiste à utiliser un moyen d'affichage complémentaire (8a), du type écran, pour afficher les données d'affichage (4a).
10. 10. Procédé selon l'une quelconque des revendications 1 à 20 7 caractérisé en ce qu'il consiste à utiliser des moyens d'interprétation complémentaires (7a) associés à une imprimante (14), pour éditer sur papier les données d'impression (4b) et mettre à disposition d'un opérateur un document imprimé pour l'opération 25 de comparaison avec les données numériques d'affichage visualisées sur l'écran (8).
11. 11. Procédé selon la revendication 10, caractérisé en ce qu'il consiste à utiliser en tant que moyens d'interprétation complémentaires (7a), des fonctions de base de l'ordinateur de contrôle (7), de manière à interpréter les données additionnelles (4) et à générer les données d'affichage (4a), lesquelles sont ensuite affichées.
12. 12. Procédé selon la revendication 4, caractérisé en ce qu'il consiste à constituer dans le système avionique embarqué (1), lors de l'étape (c), un premier fichier de vol (6a) contenant les données numériques (2) et un second fichier de vol (6b) contenant les données additionnelles (4).
13. 13. Procédé selon la revendication 12, caractérisé en ce qu'il consiste à transférer les premier et second fichiers de vol (6a, 6b) vers l'ordinateur de contrôle au sol (7) et vers les moyens d'interprétation complémentaires (7a), respectivement par l'intermédiaire d'au moins un premier support de mémoire amovible (10a) et d'au moins un second support de mémoire amovible (10b) ou par l'intermédiaire d'un unique support de mémoire amovible (10).
14. 14. Procédé selon la revendication 10, caractérisé en ce qu'il consiste à transférer au moins le premier fichier de vol (6a) vers l'ordinateur de contrôle au sol (7) par l'intermédiaire d'un unique (10) ou d'un premier support de mémoire amovible (10a) et à transférer au moins le second fichier de vol (6b) vers les moyens d'interprétation complémentaires (7a) par l'intermédiaire d'une liaison de communication du genre Ethernet (11) entre le système avionique embarqué (1) et un dispositif de lecture (12) du genre PDA , lequel est susceptibled'entrer en communication avec les moyens d'interprétation complémentaires (7a).
15. 15. Procédé selon la revendication 14, caractérisé en ce qu'il consiste à utiliser des moyens d'interprétation complémentaires (7a) intégrés dans l'appareil de lecture (12) pour générer les données d'impression (4b) et d'affichage (4a).
16. 16. Procédé selon la revendication 15, caractérisé en ce qu'il consiste à utiliser un moyen de 10 communication pour transférer les données d'impression (4b) à une imprimante (14).
17. 17. Procédé selon la revendication 15, caractérisé en ce qu'il consiste à utiliser un moyen de communication pour transférer les données d'affichage (4a) vers 15 l'écran (8).
18. 18. Procédé selon la revendication 15, caractérisé en ce qu'il consiste à utiliser un moyen de communication pour transférer les données d'affichage (4a) vers un moyen d'affichage complémentaire (8a). 20
19. 19. Procédé selon la revendication 8 ou 17, caractérisé en ce qu'il consiste à générer à partir des données impactant la sécurité enregistrées selon le format numérique, une première image A en traduisant chaque information des dites données par des caractères puis en traduisant chacun de ces 25 caractères par un ensemble de pixels d'une première couleur, à générer à partir des données impactant la sécurité enregistréesselon le format additionnel, une seconde image B en traduisant chaque caractère par un ensemble de pixels d'une seconde couleur et à superposer les images A, B ainsi obtenues pour déceler d'éventuelles zones dont la coloration est différente de la coloration obtenue par la superposition des pixels de première et de seconde couleurs de caractères identiques, lesdites zones permettant d'identifier des données de vol corrompues.
20. 20. Système de transfert et d'exploitation de données pour mettre en oeuvre le procédé conforme à l'une quelconque des revendications 1 à 19, caractérisé en ce qu'il comprend : - des moyens d'enregistrement (3, 5), intégrés au système avionique embarqué (1) et susceptibles d'enregistrer des données de vol selon un format numérique et selon un format additionnel, dissimilaire dudit format numérique, - au moins un premier fichier de vol (6a) ou au moins une première segmentation d'un unique fichier, généré par le système avionique embarqué (1) et contenant les données de vol enregistrées selon le format numérique, - au moins un second fichier de vol (6b) ou au moins une seconde segmentation de l'unique fichier, généré par le système avionique embarqué (1) et contenant les données de vol enregistrées selon le format additionnel, - un ordinateur de contrôle au sol (7) équipé d'un écran (8) et chargé avec d'une part un système d'exploitation standard du genre WINDOWS ou autre et d'autre part un logiciel applicatif pour exploiter et afficher les données de vol enregistrées selon le format numérique,- au moins un premier support de mémoire amovible (10a), contenant au moins le premier fichier de vol (6a) ou la première segmentation et destiné à transférer au moins le premier fichier de vol (6a) vers l'ordinateur de contrôle au sol (7), ou des moyens pour établir une liaison GSM entre le système avionique embarqué (1) et l'ordinateur de contrôle au sol (7), transmettant au moins le premier fichier de vol (6a) ou la première segmentation, - des moyens de transfert pour acheminer le second fichier de vol (6b) ou la seconde segmentation vers des moyens d'interprétation complémentaires (7a) générant des données additionnelles (4) à partir des données de vol enregistrées selon le format additionnel, du genre pages de chaînes de caractères, - et des moyens pour afficher ou des moyens pour imprimer les données additionnelles (9).
21. 21. Système de transfert et d'exploitation de données selon la revendication 20, caractérisé en ce que les moyens de transfert sont constitués par le premier support de mémoire amovible (10a) et par un second support de mémoire amovible (10b) contenant le second fichier de vol (6b) ou la seconde segmentation.
22. 22. Système de transfert et d'exploitation de données selon la revendication 20, caractérisé en ce que les moyens de transfert comportent une liaison de communication du genre liaison Ethernet (11) entre le système avionique embarqué (1) et un appareil de lecture (12) du genre PDA , lequel comporte des moyens pour communiquer avec les moyens d'interprétation complémentaires (7a) et transmetainsi les données additionnelles (4) pour obtenir les données d'impression (4b) ou d'affichage (4a).
23. 23. Système de transfert et d'exploitation de données selon la revendication 20, caractérisé en ce que les moyens de transfert comportent une liaison de communication du genre liaison Ethernet (11) entre le système avionique embarqué (1) et un appareil de lecture (12) du genre PDA , lequel comporte les moyens d'interprétation complémentaires (7a) pour générer les données d'impression (4b) et/ou les données d'affichage (4a).