FR2952257A1 - Procede et dispositif de configuration d'un systeme d'information de maintenance embarque dans un aeronef - Google Patents

Abstract

L'invention a notamment pour objet la configuration d'un système d'information de maintenance embarqué dans un aéronef, le système d'information comprenant une première (285) et une seconde (250) interfaces de communication, un domaine protégé (240) et un domaine ouvert (245), chacun des domaines comprenant des fonctions de maintenance (260, 275), et un module de filtrage de données (255, 270). Après avoir déterminé un mode de connexion d'un terminal mobile de maintenance au système d'information, le module de filtrage est configuré pour filtrer les données échangées entre la seconde interface et une fonction de maintenance du domaine ouvert si le terminal est directement connecté au système d'information via la première interface. Si le terminal est connecté au système d'information via un système d'information au sol et via la seconde interface, le module de filtrage est configuré pour filtrer les données échangées entre des fonctions de maintenance des domaines protégé et ouvert.

Description

La présente invention concerne les opérations de maintenance d'un aéronef et plus particulièrement un procédé et un dispositif de configuration d'un système d'information de maintenance embarqué dans un aéronef pour optimiser les opérations de maintenance effectuées à partir d'un terminal mobile de maintenance.

Pour optimiser la fiabilité des aéronefs et augmenter leur rentabilité, des opérations de maintenance sont fréquemment mises en oeuvre entre les phases de vol. Elles peuvent être réalisées lorsque l'aéronef est à sa base ou non. De façon générale, de telles opérations consistent par exemple, pour des opérateurs de maintenance, à vérifier la configuration matérielle et logicielle des systèmes de l'aéronef, analyser des données mémorisées durant le vol (surveillance continue), modifier certains paramètres de l'aéronef ou certaines données logicielles, lancer des applications logicielles de test et/ou contrôler le changement de configuration logicielle suite à une opération de téléchargement. Les données analysées sont souvent issues de capteurs et mémorisées dans un dispositif central de diagnostic et de stockage accessible à travers une interface homme-machine de type MCDU (sigle de Multi-Control Display Unit en terminologie anglo-saxonne) ou OMT (sigle de Onboard Maintenance Terminal en terminologie anglo-saxonne). Cette interface, à travers laquelle peuvent être lancées des opérations interactives, permet d'analyser les données mémorisées, d'accéder aux paramètres de l'aéronef et plus généralement d'exécuter des fonctions de test et de maintenance. L'accès aux systèmes de maintenance des aéronefs est généralement limité aux postes physiques fixes embarqués dans le cockpit. Ainsi, lorsque l'aéronef est au sol, un opérateur de maintenance peut monter dans l'aéronef pour accéder et analyser les données mémorisées, éventuellement modifier les paramètres de celui-ci et lancer des applications de test. Alternativement, pour répondre à une demande croissante des compagnies aériennes afin de réduire les temps des opérations de maintenance, des terminaux mobiles de maintenance sont utilisés. Ces derniers, dont le rôle est similaire aux interfaces de type MCDU ou OMT, sont reliés au dispositif central de diagnostic et de stockage par l'intermédiaire de prises de connexion reliées au réseau de l'aéronef. La figure 1 illustre un exemple d'un aéronef 100 comprenant un dispositif 105 central de diagnostic et de stockage. Ce dispositif est accessible, via un réseau de communication interne (non représenté), à un terminal 110 de maintenance, fixe ou mobile. Les terminaux mobiles de maintenance sont généralement appelés PMAT (acronyme de Portable Maintenance Access System en terminologie anglo-saxonne).

Le dispositif 105 est relié à tous les systèmes de l'aéronef générant des messages de maintenance, par exemple à des capteurs (non représentés) de contrôle des moteurs et des actionneurs des trains d'atterrissage et des gouvernes. Ainsi, lorsque l'aéronef 100 est au sol, un opérateur de maintenance peut, à l'aide du terminal 110, analyser les données de vol de l'aéronef et modifier ses paramètres. Par ailleurs, les compagnies aériennes exploitant ces aéronefs disposent généralement de systèmes d'information de maintenance au sol, aussi appelés MIS (acronyme de Maintenance Information System en terminologie anglo-saxonne), pour assurer le suivi de l'état de sa flotte d'aéronefs. Ces systèmes d'information sont notamment exploités par des centres de contrôle de maintenance, aussi appelés MCC (sigle de Maintenance Control Center en terminologie anglo-saxonne), et des opérateurs de maintenance de la compagnie aérienne.

Comme illustré sur la figure 1, des données peuvent être transmises directement d'un aéronef 100 à un système d'information de maintenance d'une compagnie aérienne 115, par exemple à travers un lien de type IP (sigle d'Internet Protocol en terminologie anglo-saxonne). Ces données peuvent être traitées par les systèmes d'information de maintenance pour le suivi de l'état de la flotte d'aéronefs. En outre, ces données permettent de capitaliser l'expérience acquise au cours de l'exploitation des aéronefs et ainsi d'optimiser les opérations de maintenance. Ainsi, bien que des opérations de maintenance puissent être exécutées à partir d'un terminal mobile de maintenance et que les données de maintenance issues des aéronefs puissent être utilisées pour optimiser les opérations de maintenance, il existe néanmoins un besoin pour les améliorer.

L'invention permet de résoudre au moins un des problèmes exposés précédemment. L'invention a ainsi pour objet un procédé de configuration d'un système d'information de maintenance embarqué dans un aéronef, ledit système d'information comprenant au moins une première et une seconde interfaces de communication, un domaine protégé et un domaine ouvert, chacun desdits domaines comprenant au moins une fonction de maintenance, et un module de filtrage de données, ce procédé comprenant les étapes suivantes, - détermination d'un mode de connexion d'un terminal mobile de maintenance audit système d'information ; - si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert ; et, - si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol et via ladite seconde interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert. Le procédé selon l'invention permet ainsi d'adapter la configuration d'éléments de sécurisation des données d'un système d'information de maintenance embarqué dans un aéronef selon un mode de maintenance de l'aéronef. Dans un premier mode de connexion d'un terminal mobile de maintenance à ce système d'information, des éléments de sécurisation protègent la fonction de maintenance embarquée afin, notamment, d'isoler le réseau interne de l'aéronef d'un réseau extérieur pour que des fonctionnalités de communication de l'aéronef soient toujours accessibles à des tiers. Dans un second mode de connexion d'un terminal mobile de maintenance à ce système d'information, via un système d'information de maintenance au sol, des éléments de sécurisation protègent le domaine protégé vis-à-vis du domaine ouvert, c'est-à-dire, en particulier, l'avionique. De façon avantageuse, ledit module de filtrage comprend un filtre robuste configuré pour ne transmettre que des données satisfaisant des règles prédéterminées afin de contrôler les données échangées. Selon un mode de réalisation particulier, le procédé comprend en outre une étape de configuration dudit mode de connexion, ladite étape de configuration dudit mode de connexion étant réalisée dans une zone protégée dudit aéronef. Toujours selon un mode de réalisation particulier, le procédé comprend en outre une étape de configuration d'un second module de filtrage, cette étape de configuration dudit second module de filtrage comprenant les étapes suivantes, - si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication, configuration dudit second module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert ; et, - si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol et via ladite seconde interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert.

Le procédé selon l'invention permet ainsi d'adapter la configuration d'éléments supplémentaires de filtrage des données d'un système d'information de maintenance embarqué dans un aéronef selon un mode de maintenance de l'aéronef pour améliorer la fiabilité des échanges de données.

L'invention a également pour objet un programme d'ordinateur comprenant des instructions adaptées à la mise en oeuvre de chacune des étapes du procédé décrit précédemment lorsque ledit programme est exécuté sur un ordinateur. Les avantages procurés par ce programme d'ordinateur sont similaires à ceux évoqués précédemment.

L'invention a aussi pour objet un dispositif de configuration d'un système d'information de maintenance embarqué dans un aéronef, ledit système d'information comprenant au moins une première et une seconde interfaces de communication, un domaine protégé et un domaine ouvert, chacun desdits domaines comprenant au moins une fonction de maintenance, et un module de filtrage de données, ce dispositif comprenant les moyens suivants, - moyens pour déterminer un mode de connexion d'un terminal mobile de maintenance audit système d'information ; - moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication ; et, - moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol et via ladite seconde interface de communication. Le dispositif selon l'invention permet ainsi d'adapter la configuration d'éléments de sécurisation des données d'un système d'information de maintenance embarqué dans un aéronef selon un mode de maintenance de l'aéronef. Dans un premier mode de connexion d'un terminal mobile de maintenance à ce système d'information, des éléments de sécurisation protègent la fonction de maintenance embarquée afin, notamment, d'isoler le réseau interne de l'aéronef d'un réseau extérieur pour que des fonctionnalités de communication de l'aéronef soient toujours accessibles à des tiers. Dans un second mode de connexion d'un terminal mobile de maintenance à ce système d'information, via un système d'information de maintenance au sol, des éléments de sécurisation protègent le domaine protégé vis-à-vis du domaine ouvert, c'est-à-dire, en particulier, l'avionique. Le dispositif comprend en outre, de préférence, des moyens pour 10 configurer ledit mode de connexion, lesdits moyens pour configurer ledit mode de connexion étant situés dans une zone protégée dudit aéronef. Selon un mode de réalisation particulier, le dispositif comprend en outre au moins deux commutateurs commandés par un signal de commande représentant ledit mode de connexion, un premier desdits au moins deux 15 commutateurs étant relié audit module de filtrage et à ladite au moins une fonction de maintenance dudit domaine protégé ou dudit domaine ouvert et un second commutateur desdits au moins deux commutateurs étant relié audit module de filtrage et à ladite au moins une fonction de maintenance dudit domaine ouvert ou à ladite seconde interface de communication. Ces 20 commutateurs permettent ainsi d'adapter la configuration des éléments de sécurisation selon le mode de connexion du terminal mobile de maintenance. Toujours selon un mode de réalisation particulier, le dispositif comprend en outre des moyens pour configurer un second module de filtrage, ces moyens pour configurer ledit second module de filtrage comprenant les 25 moyens suivants, - moyens pour configurer ledit second module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface 30 de communication ; et, - moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol et via ladite seconde interface de communication.

Le dispositif selon l'invention permet ainsi d'adapter la configuration d'éléments supplémentaires de filtrage des données d'un système d'information de maintenance embarqué dans un aéronef selon un mode de maintenance de l'aéronef pour améliorer la fiabilité des échanges de données. L'invention a également pour objet un aéronef comprenant le dispositif décrit précédemment. Les avantages procurés par cet aéronef sont similaires à ceux évoqués précédemment. D'autres avantages, buts et caractéristiques de la présente invention ressortent de la description détaillée qui suit, faite à titre d'exemple non limitatif, au regard des dessins annexés dans lesquels : - la figure 1 représente un aéronef comprenant un dispositif central de diagnostic et de stockage pouvant être accédé par un terminal de maintenance et pouvant transmettre des données à un système d'information de maintenance au sol ; - la figure 2 illustre schématiquement l'architecture d'une partie du système d'information d'un aéronef permettant à un système d'information d'une compagnie aérienne d'accéder à des données et à des fonctions de maintenance de l'aéronef ; - la figure 3 illustre schématiquement un exemple d'algorithme mis en oeuvre dans un système d'information d'un aéronef pour permettre d'accéder à distance à des fonctions de maintenance de l'aéronef ; - la figure 4 représente partiellement une trame Ethernet sur laquelle un filtrage peut être effectué ; - la figure 5 illustre un mode de connexion d'un terminal mobile de maintenance à un système d'information d'un aéronef, via un système d'information de maintenance au sol ; - la figure 6 illustre un mode de connexion directe d'un terminal mobile de maintenance à un système d'information d'un aéronef ; et, - la figure 7, comprenant les figures 7a et 7b, illustre schématiquement un exemple d'utilisation de commutateurs pour configurer un système d'information d'un aéronef selon le mode de connexion d'un terminal mobile de maintenance à ce dernier.

De façon générale, l'invention permet d'effectuer des opérations de maintenance dans un aéronef à partir d'un terminal mobile de maintenance (PMAT) selon deux modes différents liés à la situation, en exploitation (mode « ligne ») ou à sa base (mode « base »), de l'aéronef. Elle utilise le système d'information, les fonctions de maintenance et les moyens de communication de l'aéronef ainsi que les outils de maintenance déployés au sol et des postes mobiles de maintenance pour permettre aux opérateurs de maintenance de bénéficier des deux modes d'accès aux fonctions de maintenance de l'aéronef. L'architecture du système d'information embarqué de l'aéronef, en particulier celle des éléments de sécurisation des données échangées, s'adapte selon les modes d'opération de maintenance. Les moyens de communication mis en oeuvre entre les systèmes d'information de l'aéronef, les systèmes d'information au sol et les terminaux mobiles sont, de préférence, conformes au protocole IP (sigle d'Internet Protocol en terminologie anglo-saxonne). Selon le mode utilisé pour accéder aux fonctions de maintenance de l'aéronef, la connexion du terminal mobile est réalisée via un réseau interne de l'aéronef ou via un réseau externe, pouvant être considéré comme une extension du réseau de la compagnie aérienne exploitant l'aéronef. Selon le mode « base » mis en oeuvre lorsque l'aéronef est à sa base, l'opérateur de maintenance peut accéder à des données et à des fonctions de maintenance de l'aéronef ainsi qu'à des informations de systèmes d'information de maintenance au sol (MIS). L'opérateur a ainsi les moyens d'établir un diagnostic de l'aéronef, de consulter les bases de données du MIS et d'effectuer les opérations de maintenance requises pour permettre à l'aéronef d'effectuer ses missions et anticiper d'éventuelles pannes. Dans ce mode, les éléments de sécurisation des données échangées du système d'information de l'aéronef sont configurés pour protéger le domaine associé à la conduite du vol (avionique). Selon ce mode, le terminal mobile de maintenance accède aux fonctions de maintenance de l'aéronef via un réseau externe, pouvant être considéré comme une extension du réseau de la compagnie aérienne exploitant l'aéronef.

Selon le mode « ligne », l'opérateur de maintenance ne peut accéder qu'aux données et aux fonctions de maintenance de l'aéronef lorsque l'aéronef n'est pas à sa base. L'opérateur a ainsi les moyens d'établir un diagnostic de l'aéronef et d'effectuer les opérations de maintenance nécessaires pour permettre à l'aéronef de poursuivre sa mission. Dans ce mode, la connexion du terminal mobile de maintenance est réalisée via un réseau interne de l'aéronef. Seules les données et les fonctions de maintenance embarquées sont ici accessibles. Les éléments de sécurisation des données échangées sont configurés pour protéger les fonctions de maintenance embarquées et isoler le réseau interne de l'extérieur de telle sorte que le réseau extérieur puisse être utilisé à des fins commerciales. Ainsi, les moyens de communication du réseau externe peuvent être utilisés pour, par exemple, donner accès aux passagers à leur messagerie électronique personnelle et/ou au réseau Internet. Dans le mode « base », l'opérateur utilise un PMAT configuré pour se connecter au MIS, avec un lien filaire ou sans fil. Le MIS comprend ici une interface permettant de mettre en oeuvre une connexion sécurisée avec l'aéronef lui donnant accès à distance à des données et à des fonctions de maintenance. Ainsi, l'opérateur peut se connecter à l'aéronef via le MIS. Il peut ainsi accéder à une quantité d'informations importante lui permettant de bénéficier des compétences des équipes au sol d'analyse et d'ingénierie en temps réel. Dans le mode « ligne », l'opérateur de maintenance utilise un PMAT configuré pour ne se connecter qu'à un réseau interne de l'aéronef sur lequel l'opérateur va intervenir. Dans ce mode, seules les données et les fonctions de maintenance de l'aéronef sont accessibles. L'opérateur de maintenance limite donc son intervention au diagnostic de l'aéronef et aux opérations de maintenance nécessaires, permettant d'assurer le niveau de sûreté requis pour la poursuite de la mission de l'aéronef, tout en permettant aux autres usagers d'utiliser le réseau externe de l'aéronef. Le mode de communication est, de préférence, déterminé selon l'état d'une commande à au moins deux états ne pouvant être actionnée que dans une zone sécurisée de l'aéronef. Il s'agit, par exemple, d'une commande manuelle telle qu'un bouton poussoir intégré au poste de pilotage ou dans une soute avionique. L'invention permet ainsi d'optimiser l'utilisation du système d'information de l'aéronef et d'améliorer la fiabilité des opérations de maintenance en fournissant toutes les données utiles aux opérateurs de maintenance. Il est observé ici que, par défaut, lorsqu'ils sont activés, les terminaux mobiles de maintenance tentent de se connecter au MIS avant d'essayer une connexion directe vers un aéronef pour permettre aux opérateurs de maintenance d'accéder, si possible, aux informations du MIS. La génération de système d'information embarqué dans certains aéronefs modernes s'appuie sur une architecture qui permet aux aéronefs d'être interconnectés avec un réseau de communication de données au sol via des moyens de communication IP sécurisés tout en assurant que les composants permettant d'atteindre la sûreté des aéronefs sont conformes au niveau de confiance requis. A titre d'illustration, la plateforme supportant les fonctions de maintenance peut être développée suivant la norme aéronautique DO-178B (norme de niveau de qualité de développement logiciel selon une cible donnée, par exemple le niveau d'assurance qualité logiciel DAL C). Ainsi, la plateforme supportant les fonctions de maintenance est telle que les informations issues de celle-ci sont des données fiables. En outre, pour assurer un niveau de sécurité de données échangées suffisant, un élément de filtrage robuste de flux de données est notamment mis en oeuvre dans le système d'information de l'aéronef. Il permet à l'aéronef, via les moyens de communication IP sécurisés, d'être considéré comme une extension du réseau de la compagnie aérienne exploitant cet aéronef sans en compromettre la sûreté. Le système d'information de la compagnie aérienne peut donc accéder aux données de la plateforme de l'aéronef supportant les fonctions de maintenance et exécuter ces fonctions de façon automatique et déportée. La figure 2 illustre schématiquement l'architecture d'une partie du système d'information d'un aéronef permettant à un système d'information d'une compagnie aérienne ainsi qu'à un terminal mobile de maintenance d'accéder à des données et à des fonctions de maintenance de l'aéronef.

La référence 200 désigne ici les systèmes embarqués à bord de l'aéronef tandis que la référence 205 désigne des systèmes distants de la compagnie aérienne exploitant l'aéronef. Le système distant comprend un poste distant 210, par exemple un ordinateur de type PC (sigle de Persona/ Computer en terminologie anglo- saxonne), et un serveur 215 permettant d'établir une communication de données avec le système d'information embarqué 220 de l'aéronef à travers le réseau 225. Deux types de données peuvent être traitées par le poste distant ou la station de test : les données issues de l'aéronef et les données de commandes permettant d'exécuter des fonctions de maintenance à bord de l'aéronef. Le système d'information embarqué 220 de l'aéronef est connecté aux systèmes avioniques 230, par exemple les systèmes de commande de vol, le pilote automatique et les systèmes de surveillance de l'environnement, et aux systèmes du monde commercial 235, dit « ouvert », à la différence du monde avionique, en raison de l'origine des données traitées et de la nature des applications exécutées. Par ailleurs, le système d'information embarqué 220 comprend deux parties, une partie particulièrement sécurisée 240, appelée monde de confiance ou domaine protégé, et une partie moins sécurisée 245, appelée monde connecté ou domaine ouvert.

Le domaine ouvert 245 comprend un module de communication 250 adapté à recevoir et à transmettre des données depuis et vers le réseau 225, par exemple selon le protocole IP. La communication entre le serveur 215 et le module de communication 250 est, de préférence, réalisée à travers un tunnel sécurisé tel qu'un lien VPN (sigle de Virtual Private Network en terminologie anglo-saxonne). Le module de communication 250 est relié à un module de filtrage 255 qui est lui-même relié à un module applicatif de maintenance 260 (via une interface de type MIS) comprenant un module de codage 265 utilisé pour coder les données devant être transmises au domaine protégé 240 du système d'information embarqué 220. Par ailleurs, le module de communication 250 permet d'échanger directement des données avec le monde commercial 235. Le domaine protégé 240 comprend un module de filtrage 270 adapté 15 à contrôler les données échangées avec le domaine ouvert 245. Le domaine protégé 240 comprend en outre un module applicatif de maintenance 275 comprenant lui-même un module de conversion 280 adapté à convertir les données reçues du module de filtrage 270 afin qu'elles soient exploitables par le module applicatif de maintenance 275. 20 Comme illustré, le module applicatif de maintenance 275 du domaine protégé 240 est relié aux systèmes du monde avionique 230. Le système d'information de l'aéronef comprend en outre, dans le domaine ouvert 245, un second module de communication 285, connecté à l'applicatif de maintenance 260 via une interface PMAT, permettant d'accéder 25 directement à un réseau interne de l'aéronef pour effectuer des opérations de maintenance. Pour permettre au poste distant 210 d'accéder aux fonctions de maintenance d'un aéronef via le système d'information embarqué 220, le filtre 255 n'est pas nécessaire. Cependant, il peut s'agir d'un filtre standard tel qu'un 30 pare-feu (appelé firewall en terminologie anglo-saxonne). Au contraire, le filtre 270 doit être un filtre robuste pour isoler le domaine protégé 240 du domaine ouvert 245 et du monde commercial 235. Un tel filtre robuste est, par exemple, similaire à celui décrit en référence à la figure 4. La figure 3 illustre schématiquement un exemple d'algorithme mis en oeuvre dans un système d'information d'un aéronef pour permettre d'accéder à distance à des fonctions de maintenance de l'aéronef. La référence O désigne ici la partie de l'algorithme mise en oeuvre dans le domaine ouvert du système d'information de l'aéronef, la référence e désigne la partie de l'algorithme mise en oeuvre dans le domaine protégé du système d'information de l'aéronef, la référence e désigne les fonctions mises en oeuvre dans le monde de confiance, c'est-à-dire ici l'avionique, et la référence ® désigne les fonctions mises en oeuvre dans le monde commercial. Après avoir reçu une commande (étape 300) d'un poste distant via, par exemple, un tunnel de communication sécurisé préalablement établi, un test est effectué (étape 305) pour identifier le destinataire de la commande reçue.

Si le destinataire de la commande reçue est situé dans le domaine protégé, la commande est codée (étape 310) pour la rendre compatible avec le filtre robuste utilisé en entrée du domaine protégé, puis transmise à celui-ci (étape 315). L'échange de commande et/ou de données entre les domaines sécurisé et ouvert est de préférence réalisé via un réseau interne dédié.

Le codage consiste, par exemple, à coder les commandes sous forme de trames ayant un format et/ou des caractéristiques prédéterminés. Le filtrage consiste alors à vérifier ce format et/ou ces caractéristiques. Comme indiqué précédemment, lorsque le domaine protégé du système d'information de l'aéronef reçoit une commande du domaine ouvert, la commande reçue est filtrée (étape 320) à l'aide d'un filtre robuste. Les commandes non conformes aux critères prédéterminés du filtre sont rejetées. Les commandes filtrées sont converties ou traduites (étape 325) par un module de traduction du domaine protégé pour permettre leur exécution par la fonction de maintenance visée.

La fonction de maintenance sollicitée, par exemple un module de gestion de tests ou un module de gestion de configuration de test, exécute la commande reçue ou gère son exécution et envoie, de préférence, une réponse, par exemple une configuration ou un résultat, vers le module de traduction de commande qui construit un fichier correspondant. Ce fichier est ensuite transmis (étape 330) vers la fonction de maintenance du domaine ouvert du système d'information de l'aéronef qui transfère les informations reçues vers le poste distant (étape 335). Si le destinataire de la commande reçue est situé dans le domaine ouvert, la commande est codée (étape 340) de façon standard pour la rendre compatible avec les protocoles utilisés dans les systèmes du monde connecté. Elle est ensuite exécutée (étape 345) et, si une réponse est déterminée, celle-ci est transmise vers le poste distant (étape 335). Comme indiqué précédemment, le module de filtrage comprenant un filtre robuste a ici pour objet de filtrer les données reçues du réseau afin de ne transmettre que les données correctement formatées au domaine protégé du système d'information de l'aéronef.

Le module de filtrage comprenant un filtre robuste est, de préférence, basé sur le principe du tamis, c'est-à-dire sur un mécanisme itératif, selon lequel plusieurs niveaux de filtres sont utilisés pour optimiser les temps de traitement. Il est ainsi composé de plusieurs éléments permettant de filtrer de plus en plus finement les données reçues afin de ne laisser passer que les données correspondant aux commandes valides. Un exemple d'un tel filtre robuste est décrit dans la demande de brevet FR 2 927 181 déposée au nom de la société Airbus France. Le module de filtrage comprenant un filtre robuste nécessite qu'un format de commande soit défini afin de ne traiter qu'un certain type de trames réseau. Le format et le protocole de transport associé peuvent être définis sous forme de paramètres, accessibles au module de filtrage. Par exemple, de tels paramètres peuvent préciser que les commandes sont reçues sous forme de trames Ethernet, indiquer les sources autorisées à transmettre de telles commandes, donner une durée de vie maximale des trames au-delà de laquelle les trames ne sont pas prises en compte et indiquer les caractères pouvant être valablement utilisés pour coder une commande dans une trame.

A titre d'illustration, le filtrage de trames Ethernet peut s'effectuer en trois étapes. La figure 4 représente partiellement une trame Ethernet 400 sur laquelle un filtrage robuste peut être effectué selon ces trois étapes.

Tout d'abord, chaque trame est analysée en vérifiant, par exemple, les adresses physiques source 405 et destination 410, en particulier les adresses MAC (acronyme de Media Access Control en terminologie anglo-saxonne), le type de protocole 415 et la signature 425 de la trame complète. Les données 420 de la trame ne sont pas analysées dans cette première étape.

Si les adresses physiques source 405 et destination 410, le type de protocole 415 et la signature 425 ne sont pas conformes aux paramètres du module de filtrage, la trame est rejetée. Au contraire, si les adresses physiques source 405 et destination 410, le type de protocole 415 et la signature 425 sont conformes aux paramètres du module de filtrage, une deuxième étape de filtrage est mise en oeuvre. Il convient de remarquer ici que la première étape de filtrage peut porter sur d'autres données que celles citées ou, au contraire, sur moins de données.

La deuxième étape consiste par exemple à analyser l'entête des données 420. En particulier, cette deuxième étape de filtrage peut consister à vérifier la version IP 425, la longueur 430 de l'en-tête, le type de service 435, la longueur totale 440 des données, l'identification 445 utilisée pour reconstituer les fragments, la durée de vie 450, aussi appelée TTL (sigle de Time To Live en terminologie anglo-saxonne), le protocole 455 et les adresses source 460 et destination 465. A nouveau, si toutes ces informations ne sont pas conformes aux paramètres du module de filtrage, la trame est rejetée. Au contraire, si toutes ces informations sont conformes aux paramètres du module de filtrage, une troisième étape de filtrage est mise en oeuvre.

Il convient de remarquer ici aussi que la seconde étape de filtrage peut porter sur d'autres données que celles citées ou, au contraire, sur moins de données. La troisième étape consiste ici à analyser les caractères des données utiles 470 de la trame. Cette étape permet ainsi de vérifier que les caractères nécessaires à la construction de la commande ne peuvent pas être utilisés pour construire du code exécutable. De façon avantageuse, tous les caractères des données utiles doivent être choisis dans la table ASCII, dans les valeurs comprises entre 032 et 090.

Si un caractère des données utiles 470 n'appartient pas à la table ASCII, entre les valeurs 032 et 090, la trame est rejetée. Au contraire, si tous les caractères des données utiles 470 appartiennent à la table ASCII, entre les valeurs 032 et 090, la trame est transmise à la partie sécurisée du système d'information de l'aéronef pour y être traitée.

Naturellement, la troisième étape de filtrage peut porter sur d'autres critères, en particulier des critères plus restrictifs. La traduction des commandes filtrées a pour objet d'établir une interface entre les fonctions de maintenance et le réseau. Ce module est développé, de préférence, de manière à ce que seules les commandes liées à des instructions correspondant à des fonctions de maintenance implémentées dans la partie sécurisée du système d'information de l'aéronef aient une action. Ceci signifie que ce module connaît les instructions qui peuvent être exécutées par chaque application. En d'autres termes, une liste d'instructions ou de séquence d'instructions est, de préférence, préalablement mémorisée. Une telle liste définit un ensemble de configurations d'enchaînements possibles d'instructions. Cette liste peut également définir des combinaisons interdites. Cette configuration est construite de telle sorte que l'enchaînement des instructions d'une application est connu a priori. Ceci permet au module de conversion de vérifier que les commandes qu'il reçoit et l'enchaînement des instructions associées est conforme à ce que l'application est supposée exécuter. Cette vérification permet au module de conversion de rejeter tout enchaînement non attendu et assure ainsi que des opérations dangereuses ne peuvent pas être exécutées. Dans un mode de réalisation particulier, le module de conversion utilise une table de correspondance entre des noms des commandes et les fonctions effectives, c'est-à-dire des séquences d'instructions, afin d'associer une ou plusieurs instructions aux noms de commandes reçus du poste distant. Il convient de noter ici que les instructions peuvent prendre plusieurs formes. Il s'agit par exemple de pointeurs vers des fonctions ou de commandes interfacées avec le système d'exploitation du dispositif de maintenance. Les instructions permettent notamment de simuler une action entrée par un utilisateur sur l'interface du dispositif de maintenance accessible dans l'aéronef. Après qu'une commande ait été analysée et déclarée conforme, le module de conversion transmet les instructions correspondantes à l'application concernée. L'application exécute les instructions et retourne, généralement, une réponse. Cette réponse est reçue par le module de conversion qui construit un message de réponse, de préférence signé. La figure 5 illustre le mode de connexion « base » d'un PMAT à un système d'information d'un aéronef, via un système d'information de maintenance au sol, par exemple un système d'information de maintenance au sol d'une compagnie aérienne exploitant cet aéronef. Lorsque le PMAT 500 est connecté au réseau de communication 225 auquel est également connecté un MIS 505, il se connecte à ce dernier selon un protocole standard. Plus précisément, le PMAT 500 se connecte à un serveur (non représenté) du MIS 505 auquel peuvent être reliés des outils et des bases de données (non représentés) de la compagnie aérienne exploitant l'aéronef. De façon similaire, le système d'information 220 d'un aéronef peut se connecter au MIS 505 via le réseau 225 ou un réseau distinct. A ces fins, un serveur (non représenté) du MIS 505 se connecte au domaine ouvert 245 du système d'information 220 via le module de communication 250 et le module de filtrage 255. Comme indiqué précédemment, le domaine ouvert 245 est relié aux systèmes du monde commercial 235 via le module de communication 250 ainsi qu'aux applicatifs de maintenance 275, via les modules de filtrage 255 et 270, auxquels est relié l'avionique 230. Avantageusement, le PMAT 500 et le système d'information 220 sont connectés au réseau de communication 225 par un lien sans fil. En outre, pour assurer la mobilité de l'opérateur de maintenance autour et dans l'aéronef, un réseau sans fil de l'aéronef est configuré comme une extension du réseau 225 de façon à permettre la connexion du PMAT 500 au MIS 505 via ce réseau sans fil de l'aéronef. Cette fonction particulière pouvant être mise en oeuvre dans certains réseaux sans fil d'aéronef assure ainsi une fonction d'itinérance (appelée roaming en terminologie anglo-saxonne) pour le PMAT entre l'extérieur et l'intérieur de l'aéronef. Lorsque ces connexions sont établies, le PMAT 500 peut accéder à des informations du MIS 505 ainsi qu'à des données et à des fonctions de maintenance de l'aéronef via le MIS 505. Le PMAT 500 peut ainsi accéder à des données et à des fonctions de maintenance de l'aéronef, de façon similaire à un poste distance d'un système d'information de maintenance au sol, comme décrit en référence aux figures 2 à 4. La figure 6 illustre le mode de connexion « ligne » d'un PMAT à un système d'information d'un aéronef.

Ce mode de communication est par exemple mis en oeuvre lorsque le PMAT ne peut se connecter à un système d'information de maintenance au sol. Dans ce cas, le PMAT se connecte à un module de communication relié à un réseau interne de l'aéronef et permettant au PMAT d'échanger directement des données et des commandes avec les applicatifs de maintenance via un filtre robuste, sans qu'une connexion vers le monde commercial ne soit possible. A ces fins, le PMAT 500 se connecte ici au module de communication 285 lui-même relié aux applicatifs de maintenance 260 du domaine ouvert et aux applicatifs de maintenance 275 du domaine protégé via le module de filtrage 270. Ce dernier n'ai pas nécessaire. Cependant, il peut s'agir d'un filtre standard tel qu'un pare-feu.

Ainsi, lorsque cette connexion est établie, le PMAT 500 peut accéder à des données et à des fonctions de maintenance de l'aéronef. Simultanément, les applications du monde commercial peuvent utiliser le module de communication 250 sans réduire le niveau de sécurité du domaine protégé du système d'information 220, c'est-à-dire en contrôlant les échanges de données et de commande entre le module de communication 250 et les applicatifs de maintenance 260 permettant d'accéder au domaine protégé du système d'information 220. A ces fins, le module de filtrage 255 intègre ici un filtre robuste tel que celui décrit en référence à la figure 4.

Selon un premier mode de réalisation, la configuration des modules de filtrage 255 et 270 est réalisée de façon logique en fonction de l'état d'une commande. Après avoir détecté la position de la commande de connexion selon le mode « base » ou le mode « ligne », les modules de filtrage 255 et 270 se configurent automatiquement pour implémenter un filtre robuste ou un simple filtre de type pare-feu. En mode « base », une protection efficace doit être implémentée entre les domaines ouvert et sécurisé afin d'assurer le niveau de sûreté requis de l'aéronef. A ces fins, le module de filtrage permettant d'accéder au système d'information de l'aéronef à partir d'un réseau extérieur comprend un filtre simple tel qu'un pare-feu tandis que le module de filtrage mis en oeuvre entre les fonctions de maintenance des domaines ouvert et sécurisé comprend un filtre robuste. Ainsi, dans ce mode de connexion, les opérateurs de maintenance peuvent accéder aux bases de données de maintenance disponibles à travers le réseau sol de la compagnie (principalement via le MIS) depuis leur PMAT tout en étant en mesure d'exécuter des fonctions de maintenance de l'aéronef. Il est noté ici que, selon ce mode de connexion, la menace de sécurité de l'aéronef est essentiellement liée au réseau de communication de la compagnie aérienne et aux applications du monde commercial. Par conséquent, outre l'utilisation d'un filtre robuste entre les domaines ouvert et sécurisé, la connexion entre les systèmes d'information au sol et embarqué dans l'aéronef est assurée via un tunnel sécurisé et les données sont signées par le serveur au sol. De ce fait, seul l'interface de type MIS à laquelle est relié le filtre est capable de traiter les données reçues. En mode « ligne », une protection efficace doit être implémentée pour protéger les domaines ouvert et sécurisé afin de maintenir le niveau de sûreté de l'aéronef. A ces fins, le module de filtrage permettant d'accéder au système d'information de l'aéronef à partir d'un réseau extérieur comprend un filtre robuste tandis que le module de filtrage mis en oeuvre entre les fonctions de maintenance des domaines ouvert et sécurisé comprend un filtre simple de type pare-feu.

Il est observé ici que les données nécessaires aux opérations de maintenance étant disponibles à bord de l'aéronef, la connexion vers un réseau de communication au sol n'est pas indispensable. La configuration des filtres permet ainsi d'assurer que la disponibilité de l'aéronef est optimale même s'il ne se connecte pas à un réseau de communication de la compagnie aérienne.

Dans ce mode, la menace de sécurité résiduelle est liée au PMAT. Afin de minimiser le risque associé, la connexion du PMAT au réseau interne de l'aéronef est réalisée via un tunnel sécurisé. De plus une fonction de filtrage additionnel, par exemple à l'aide d'un pare-feu, assure que seuls les flux de données autorisés accèdent au domaine protégé.

Par conséquent, en référence aux figures 5 et 6, les modules de filtrage 255 et 270 sont configurés en filtre simple et robuste, respectivement, en mode « base » tandis qu'ils sont configurés en en filtre robuste et simple, respectivement, en mode « ligne ». La configuration des modules de filtrage est par exemple réalisée par l'activation de modules logiciels de filtrage et/ou par la modification des paramètres des modules de filtrage. Selon un second mode de réalisation, des commutateurs sont utilisés pour modifier l'architecture du système d'information de l'aéronef selon le mode de connexion du PMAT. Ainsi comme illustré sur la figure 7a, deux commutateurs 700-1 et 30 700-2 contrôlés par une même commande (non représentée) peuvent être mis en oeuvre pour modifier la position du module de filtrage robuste 705.

Lorsque le mode de connexion est « ligne », le module de filtrage robuste 705 est relié à l'interface MIS des applicatifs de maintenance 260 appartenant au domaine ouvert 245 ainsi qu'au module de communication 250. En d'autres termes, le module de filtrage robuste 705 est mis en oeuvre à la place du module de filtrage 255 (figure 6). De même, lorsque le mode de connexion est « base », le module de filtrage robuste 705 est relié aux applicatifs de maintenance 275 appartenant au domaine protégé 240 ainsi qu'aux applicatifs de maintenance 260 appartenant au domaine ouvert 245. En d'autres termes, le module de filtrage robuste 705 est mis en oeuvre à la place du module de filtrage 270 (figure 5). Pour assurer l'adéquation des règles de sécurité du filtre robuste selon sa position dans l'architecture du système d'information de l'aéronef, les moyens de stockage utilisés pour mémoriser la configuration des règles de filtrage robuste sont avantageusement composés de deux éléments ségrégués (chaque élément correspondant à un mode de connexion). Aussi, pour s'assurer que la mémoire vive utilisée par le filtre est correctement initialisée, le module de filtrage robuste est de préférence redémarré lors de chaque changement de mode opératoire. Il est possible de contrôler un filtre de type pare-feu de façon similaire. Ainsi, comme illustré sur la figure 7b, deux commutateurs 700-3 et 700-4, contrôlés par la même commande (non représentée) que celle utilisée pour contrôler les commutateurs 700-1 et 700-2, peuvent être mis en oeuvre pour modifier la position du module de filtrage de type pare-feu. Lorsque le mode de connexion est « ligne », le module de filtrage de type pare-feu est relié aux applicatifs de maintenance 275 appartenant au domaine protégé 240 ainsi qu'aux applicatifs de maintenance 260 appartenant au domaine ouvert 245. En d'autres termes, le module de filtrage de type pare-feu est mis en oeuvre à la place du module de filtrage 270 (figure 5). Lorsque le mode de connexion est « base », le module de filtrage de type pare-feu est relié à l'interface MIS des applicatifs de maintenance 260 appartenant au domaine ouvert 245 ainsi qu'au module de communication 250.

En d'autres termes, le module de filtrage de type pare-feu est mis en oeuvre à la place du module de filtrage 255 (figure 6). Les commutateurs 700-1 à 700-4 sont, par exemple, des commutateurs Ethernet permettant de brasser les connexions des modules de filtrages afin de les positionner sur l'infrastructure du système d'information de l'aéronef en fonction du mode de connexion d'un PMAT. Naturellement, pour satisfaire des besoins spécifiques, une personne compétente dans le domaine de l'invention pourra appliquer des modifications dans la description précédente.

Claims (10)

1. REVENDICATIONS1. Procédé de configuration d'un système d'information (220) de maintenance embarqué dans un aéronef, ledit système d'information comprenant au moins une première (285) et une seconde (250) interfaces de communication, un domaine protégé (240) et un domaine ouvert (245), chacun desdits domaines comprenant au moins une fonction de maintenance (260, 275), et un module de filtrage de données (255, 270), ce procédé étant caractérisé en ce qu'il comprend les étapes suivantes, - détermination d'un mode de connexion d'un terminal mobile de maintenance (500) audit système d'information ; - si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert ; et, - si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol (505) et via ladite seconde interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert.
2. 2. Procédé selon la revendication 1 selon lequel ledit module de filtrage comprend un filtre robuste configuré pour ne transmettre que des données satisfaisant des règles prédéterminées.
3. 3. Procédé selon la revendication 1 ou la revendication 2 comprenant en outre une étape de configuration dudit mode de connexion, ladite étape de configuration dudit mode de connexion étant réalisée dans une zone protégée dudit aéronef.
4. 4. Procédé selon l'une quelconque des revendications précédentes comprenant en outre une étape de configuration d'un second module defiltrage, cette étape de configuration dudit second module de filtrage comprenant les étapes suivantes, - si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication, configuration dudit second module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert ; et, - si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol et via ladite seconde interface de communication, configuration dudit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert.
5. 5. Programme d'ordinateur comprenant des instructions adaptées à la mise en oeuvre de chacune des étapes du procédé selon l'une quelconque des revendications précédentes lorsque ledit programme est exécuté sur un ordinateur.
6. 6. Dispositif de configuration d'un système d'information (220) de maintenance embarqué dans un aéronef, ledit système d'information comprenant au moins une première (285) et une seconde (250) interfaces de communication, un domaine protégé (240) et un domaine ouvert (245), chacun desdits domaines comprenant au moins une fonction de maintenance (260, 275), et un module de filtrage de données (255, 270), ce dispositif étant caractérisé en ce qu'il comprend les moyens suivants, - moyens pour déterminer un mode de connexion d'un terminal mobile de maintenance (500) audit système d'information ; - moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication ; et,- moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert si ledit terminal mobile de maintenance est connecté audit système d'information via un système d'information de maintenance au sol (505) et via ladite seconde interface de communication.
7. 7. Dispositif selon la revendication précédente comprenant en outre des moyens pour configurer ledit mode de connexion, lesdits moyens pour configurer ledit mode de connexion étant situés dans une zone protégée dudit aéronef.
8. 8. Dispositif selon la revendication 6 ou la revendication 7 comprenant en outre au moins deux commutateurs (700-1, 700-2) commandés par un signal de commande représentant ledit mode de connexion, un premier desdits au moins deux commutateurs étant relié audit module de filtrage et à ladite au moins une fonction de maintenance dudit domaine protégé ou dudit domaine ouvert et un second commutateur desdits au moins deux commutateurs étant relié audit module de filtrage et à ladite au moins une fonction de maintenance dudit domaine ouvert ou à ladite seconde interface de communication.
9. 9. Dispositif selon l'une quelconque des revendications 6 à 8 comprenant en outre des moyens pour configurer un second module de filtrage, ces moyens pour configurer ledit second module de filtrage comprenant les moyens suivants, - moyens pour configurer ledit second module de filtrage pour filtrer les données échangées entre lesdites au moins une fonction de maintenance desdits domaines protégé et ouvert si ledit terminal mobile de maintenance est directement connecté audit système d'information via ladite première interface de communication ; et, - moyens pour configurer ledit module de filtrage pour filtrer les données échangées entre ladite seconde interface de communication et ladite au moins une fonction de maintenance dudit domaine ouvert si ledit terminal mobile de maintenance est connecté audit système d'information via unsystème d'information de maintenance au sol et via ladite seconde interface de communication.
10. 10. Aéronef comprenant le dispositif selon l'une quelconque des revendications 6 à 9.5