FR2967647A1

FR2967647A1 - Procede et systeme de sauvegarde de donnees de fonctionnement d'un vehicule

Info

Publication number: FR2967647A1
Application number: FR1059608A
Authority: FR
Inventors: Benjamin Declety; Frederic Heurtaux; Gerard Pottier; Patrick Valette
Original assignee: Sagem Defense Securite SA
Current assignee: Safran Electronics and Defense SAS
Priority date: 2010-11-22
Filing date: 2010-11-22
Publication date: 2012-05-25
Anticipated expiration: 2030-11-22
Also published as: US8775014B2; FR2967647B1; US20120130585A1

Abstract

Procédé de sauvegarde de données de fonctionnement d'un véhicule, comportant les étapes de : - collecter les données de fonctionnement et les enregistrer au fur et à mesure à bord du véhicule, - détecter un évènement, - à partir de la détection, émettre vers au moins un récepteur extérieur, d'une part, les données collectées dès leur collecte et, d'autre part, les données mémorisées dans un ordre chronologique inverse de l'ordre d'enregistrement, - enregistrer les données reçues par ledit récepteur extérieur. Système de sauvegarde pour la mise en œuvre du procédé .

Description

La présente invention concerne un procédé et un système de sauvegarde de données de fonctionnement d'un véhicule tel qu'un aéronef. Un aéronef embarque généralement un système de sauvegarde de données de vol. Les données de vol sont sauvegardées pour permettre, en cas d'accident de l'aéronef, d'identifier les causes de l'accident. Ces données comprennent des données issues de capteurs tels que des paramètres de navigation, comme la vitesse et l'altitude, et des paramètres de fonctionne-ment de certains équipements comme les moteurs. Le système de sauvegarde comprend généralement une unité de traitement, ou FDAU (« Flight Data Acquisition Unit » ou unité d'acquisition des données de vol), reliées à un réseau de capteurs assurant la collecte des données et à un module sécurisé d'enregistrement ou FDR (« Flight Data Recorder » ou enregistreur des données de vol). Les données sauvegardées peuvent également corn- prendre des données vocales et plus particulièrement les conversations de l'équipage. Le système de sauvegarde incorpore alors une unité de traitement reliant les micro-phones du cockpit à un module sécurisé d'enregistrement ou CVR (« Cockpit Voice Recorder » ou enregistreur des voix du cockpit). Les modules sécurisés d'enregistrement comportent un boîtier renforcé et une balise de localisation agencée pour émettre un signal permettant de repérer les boîtes noires et d'en lire le contenu après un accident, voire une dislocation, de l'aéronef dans lequel les systèmes de sauvegarde étaient embarqués. Malgré cela, la récupération des modules sécurisés d'enregistrement demande le déploiement de moyens, tant matériels qu'humains, importants surtout lorsque l'aéronef s'est abimé en mer et il arrive que les modules sécurisés d'enregistrement ne puissent être récupérés. Un but de l'invention est de fournir un moyen simple et efficace pour faciliter la récupération des données de fonctionnement d'un véhicule après un accident de celui-ci. A cet effet, on prévoit, selon l'invention, un procédé de sauvegarde de données de fonctionnement d'un véhicule, comportant les étapes de : - collecter les données de fonctionnement et les enregistrer au fur et à mesure à bord du véhicule, - détecter un évènement, - à partir de la détection, émettre vers au moins un récepteur extérieur, d'une part, les données collectées dès leur collecte et, d'autre part, les données mé- morisées dans un ordre chronologique inverse de l'ordre d'enregistrement, - enregistrer les données reçues par ledit récepteur extérieur. Ainsi, les données de fonctionnement qui viennent d'être collectées commencent à être transmises en temps réel au fur et à mesure de leur traitement et les données de fonctionnement qui ont déjà été enregistrées sont transmises dans un ordre inverse de l'ordre d'enregistrement. Cette dernière transmission permet d'augmenter les chances d'obtenir la cause génératrice de l'évènement tandis que la transmission des données en temps réel fournit les conséquences de l'évènement. L'évènement en question peut être une défaillance du véhicule ou une anomalie de fonctionnement, ou bien encore une commande d'un opérateur du véhicule se rendant compte qu'il risque d'en perdre le contrôle. De préférence, les données comportent des données de différents types et les données sont émises dans un ordre de priorité tenant compte de leur type.

Comme le temps de transmission et le débit dispo- nibles sont relativement aléatoires, la hiérarchisation des données permet d'augmenter les chances de sauvegardes des données a priori les plus importantes. Avantageusement alors : - les données comportent des premières informations relatives à une validité de données provenant d'un équipement particulier et des deuxièmes informations relatives à un fonctionnement dudit équipement, les premières informations étant prioritaires sur les deuxièmes in- formations tant que les deuxièmes informations ne révè- lent pas un dysfonctionnement dudit équipement, et/ou - l'ordre de priorité est déterminé en fonction : de l'évènement lui-même, d'une phase de fonctionnement du véhicule au moment de la détection de l'évènement, ou de caractéristique du ou des réseaux de télécommunication disponibles pour l'émission. L'invention a également pour objet, un système de sauvegarde de données de fonctionnement d'un véhicule comportant une unité de traitement des données reliée à un réseau de collecte des données et à un module sécurisé d'enregistrement, caractérisé en ce que l'unité de traitement est également reliée à une mémoire à laquelle est reliée une unité d'émission des données mémorisées vers l'extérieur du véhicule, l'unité de traitement étant pro- grammées pour transmettre des données à enregistrer au module sécurisé d'enregistrement et à la mémoire, l'unité d'émission étant agencée pour émettre les données collectées au fur et à mesure de leur transmission à la mémoire et les données mémorisées dans un sens inverse de l'ordre de mémorisation. D'autres caractéristiques et avantages de l'invention ressortiront à la lecture de la description qui suit de modes de réalisation particuliers non limita-tifs de l'invention.

Il sera fait référence aux dessins annexés, parmi lesquels : - la figure 1 est une vue schématique d'un sys- tème selon un premier mode de réalisation de l'invention, - la figure 2 est une vue schématique d'un sys- tème selon un deuxième mode de réalisation, - la figure 3 est une vue schématique d'un système selon un troisième mode de réalisation. En référence aux figures, le système de sauve-garde ici décrit est celui d'un avion. Il va de soi que l'invention est utilisable sur tout type de véhicule, qu'il soit terrestre, marin ou aérien, embarquant du personnel ou non. L'invention telle que mise en oeuvre dans les premier et deuxième modes de réalisation est décrite en relation avec la sauvegarde des données issues de cap- teurs telles que les paramètres de navigation et les paramètres de fonctionnement moteur. L'invention dans ces modes de réalisation est bien entendu utilisable pour la sauvegarde des données vocales, telles que les conversations de l'équipage, comme dans le troisième mode de ré- alisation. Le système de sauvegarde conforme à l'invention comprend de façon connue en elle-même une unité de traitement des données, généralement désignée en 1 sur les figures, reliée à un réseau de collecte des données 2 et à un module sécurisé d'enregistrement 3 de type FDR ou DFDR ou SSFDR (« Flight Data Recorder », « Digital Flight Data Recorder », ou « Solid State Flight Data Recorder » : enregistreur des données de vol, numérique pour le second et à mémoire solide pour le dernier). Le module sécurisé d'enregistrement 3 est destiné à être monté dans la queue de l'avion. L'unité de traitement 1 est une uni- té informatique jouant le rôle de calculateur d'acquisition et incorporant au moins un processeur exécutant une programme de traitement et de gestion des don- nées regroupant les données à enregistrer, calculant des valeurs des données à enregistrer et commandant l'enregistrement des données et des valeurs dans le module sécurisé d'enregistrement. Le mode de collecte des données, le réseau et les capteurs utilisés sont classi- ques et ne sont pas décrits ici. Le module sécurisé d'enregistrement 3 a également une structure classique utilisant ici une mémoire solide de type FLASH. L'unité de traitement 1 est également reliée à une mémoire 4 à laquelle est reliée une unité d'émission 5 des données mémorisées vers l'extérieur du véhicule. L'unité de traitement 1 est en outre programmée pour transmettre des données à enregistrer au module sécurisé d'enregistrement 3 et à la mémoire 4. La mémoire 4 et l'unité d'émission 5 sont reliées à au moins une batterie de secours 6 assurant leur alimentation en cas d'arrêt de fonctionnement du réseau de bord. L'unité d'émission 5 est un émetteur radio programmé pour émettre . - d'une part, les données collectées au fur et à mesure de leur transmission à la mémoire 4 ; et - d'autre part, les données enregistrées dans la mémoire 4 dans un sens inverse de l'ordre de mémorisation. Le système de sauvegarde est agencé pour mettre en oeuvre un procédé de sauvegarde de données, comportant les étapes de : - collecter les données de vol et les enregistrer au fur et à mesure à bord du véhicule, - détecter un évènement, - à partir de la détection, émettre vers au moins un récepteur extérieur, d'une part, les données collectées dès leur collecte et, d'autre part, les données mémorisées dans un ordre chronologique inverse de l'ordre d'enregistrement, - enregistrer les données reçues.

L'évènement détecté est ici soit une défaillance d'un équipement du véhicule soit une commande d'un opérateur de l'avion. La défaillance est par exemple détectée à partir des messages de test envoyé par chaque équipe- ment sur le réseau de collecte de données. Ces messages de test dits messages BITE (« Buit-In Test Equipment » ou équipement à test intégré) permettent de vérifier le bon fonctionnement d'un équipement déclenchent le procédé de sauvegarde s'ils concernent des équipements critiques comme les moteurs ou le calculateur de l'avion et/ou s'ils révèlent une défaillance ayant un niveau de gravité supérieur à un seuil prédéterminé. L'unité d'émission 5 est programmée pour émettre en temps réel sur un premier canal d'émission les données collectées au fur et à mesure de leur transmission à la mémoire et sur un deuxième canal les données mémorisées dans le sens inverse de l'ordre de mémorisation. Les données émises comportent des données de différents types comme les paramètres de vol, les paramètres de fonctionnement des équipements de l'avion, les données d'état dites messages « STATUS » permettant de vérifier la validité des données provenant d'un équipement et les données de test dites messages « BITE » mentionnés ci-dessus et tout autre donnée dont l'exploitation pourrait permettre d'expliquer un accident. L'unité de traitement 1 est agencée pour affecter aux données un ordre de priorité tenant compte de leur type. Ainsi, pour un équipe-ment particulier, les données d'état attestant de la validité des données fournies par l'équipement sont priori- taires sur les données de test concernant le fonctionne-ment de l'équipement tant que ces dernières ne révèlent pas un dysfonctionnement dudit équipement (en effet, il est utile de savoir qu'un équipement est défaillant alors même que les données qui en émanent sont considérées comme valides). L'ordre de priorité est en outre détermi- né en fonction : - de l'évènement ayant provoqué la mise en oeuvre du procédé de sauvegarde (si l'évènement est une défaillance d'un équipement, les données concernant cet équipe- ment sont prioritaires), - d'une phase de fonctionnement du véhicule au moment de la détection de l'évènement (les données n'ont pas la même importance selon que l'avion est en phase de décollage, de croisière ou d'atterrissage), - de caractéristiques du ou des réseaux de télé-communication disponibles pour l'émission, et par exemple une caractéristique de débit qui va dicter la quantité de données qu'il est possible de transmettre. L'émission des données est réalisée en fonction de la priorité affectée. Les données sont émises par trames en association avec une information temporelle implicite (résultant par exemple du numéro de la trame ou d'un intervalle connu entre les trames) ou explicite (horodatage). Lorsque les données sont des données vocales, les trames seront celles issues de l'organe de codage type VOCODER incorporé dans la ligne d'acquisition de ces données. Le récepteur est de préférence un organisme tiers de confiance qui va sauvegarder les données transmises par l'organe d'émission 5 sur une mémoire adaptée. Lors-que l'avion arrive à destination, une information correspondante est envoyée à l'organisme tiers de confiance qui efface les données de la mémoire. Les données émises peu-vent être transmises directement au récepteur ou transi- tent par au moins un relais avant d'atteindre le récepteur. Le relais est par exemple un satellite, un véhicule alentour comme un autre avion croisant au voisinage de l'avion en difficulté, un relais terrestre fixe. Le procédé comprend de préférence l'étape de chiffrer les données avant leur émission en particulier lorsque les données comprennent les conversations de l'équipage. Le code de déchiffrement n'est fourni à l'organisme tiers de confiance qu'en cas d'accident de l'avion.

La programmation de l'unité de traitement 1 empêche en outre que l'émission des données puisse être désactivée avant l'arrivée de l'avion à destination ou avant une phase de fonctionnement prédéterminée de l'avion ici une phase de parking.

Dans le premier mode de réalisation représenté à la figure 1, l'unité de traitement 1 comprend un premier module de traitement 1.1, de type FDAU, et un deuxième module de traitement 1.2 de type DMU (« Data Management Unit » ou unité de gestion des données) qui sont indépen- dants l'un de l'autre et sont tous deux reliés au réseau de collecte des données 2. Le module de traitement 1.1 exécute un programme de traitement certifié pour l'aviation assurant une vérification de cohérence entre les données en entrée et celles en sortie tandis que le module de traitement 1.2 exécute un programme de traite-ment qui n'est pas certifié. Les modules de traitement 1.1 et 1.2 peuvent recevoir les mêmes données mais le module de traitement 1.2 reçoit de préférence des données supplémentaires.

Le premier module de traitement 1.1 est relié au module sécurisé d'enregistrement 3 et ici à une mémoire 7 ou QAR (« Quick Access Recorder » ou enregistreur à accès rapide). La mémoire 7 est par exemple un support magnétique, un disque magnéto-optique ou une carte mémoire par exemple de type PCMCIA. Le deuxième module de traitement 1.2 est relié à la mémoire 4 qui constitue ici le DAR (« Direct Access Recorder » ou enregistreur à accès direct). Le module de traitement 1.2 est configuré pour permettre à la fois la lecture des données sur la mémoire 4 (pour l'émission des données dans l'ordre inverse de mémorisation) et l'écriture de données sur la mémoire 4 (pour poursuivre l'enregistrement des données). Les éléments identiques ou analogues à ceux pré- cédemment décrits porteront la même référence numérique dans les deuxième et troisième modes de réalisation. Dans le deuxième mode de réalisation de la figure 2, l'unité de traitement 1 a une structure unitaire comportant une partie 1.1 assurant la fonction FDAU et une partie 1.2 assurant la fonction DMU. La partie 1.1 est reliée au module sécurisé d'enregistrement 3 et la partie 1.2 est reliée à la mémoire 4 formant DAR. La partie 1.1 transmet également des données à la partie 1.2 pour que ces données soient enregistrées dans la mémoire 4.

Dans le troisième mode de réalisation de la figure 3, l'unité de traitement 1 a une structure unitaire comportant une partie 1.1 assurant la fonction FDAU et une partie 1.2 assurant la fonction DMU comme dans le deuxième mode de réalisation mais incorpore en outre une partie 1.3 assurant le traitement des données vocales. La partie 1.1 est reliée au module sécurisé d'enregistrement 3 ; la partie 1.2 est reliée à la mémoire 4 formant DAR et la partie 1.3 est reliée en entrée à la ligne d'acquisition des données vocales et en sortie à un mo- dule sécurisé d'enregistrement 8 des données vocales et à la mémoire 4 formant DAR. Les parties 1.1 et 1.3 transmettent également des données à la partie 1.2 pour que ces données soient enregistrées dans la mémoire 4. Bien entendu, l'invention n'est pas limitée aux modes de réalisations décrits mais englobe toute variante entrant dans le champ de l'invention telle que définie par les revendications. En particulier, la structure du système de sauve-garde peut-être différente de celle décrite et comprendre par exemple uniquement une unité de traitement formant FDAU reliée au module sécurisé d'enregistrement 3 et à une mémoire 7 formant QAR. L'unité d'émission 5 est alors reliée directement à la mémoire 7 qui doit être agencée pour permettre à la fois l'écriture et la lecture de don- nées. L'unité d'émission peut également être reliée directement à l'unité de traitement 1 pour recevoir directement les données à enregistrer et à la mémoire pour lire les données enregistrées.

Les parties 1.1 et/ou 1.3 peuvent être reliées directement à la mémoire 4 pour y enregistrer des don-nées. La mémoire 4 est alors avantageusement associée à un processeur gérant les accès à ladite mémoire.

Claims

REVENDICATIONS1. Procédé de sauvegarde de données de fonctionnement d'un véhicule, comportant les étapes de : - collecter les données de fonctionnement et les enregistrer au fur et à mesure à bord du véhicule, - détecter un évènement, - à partir de la détection, émettre vers au moins un récepteur extérieur, d'une part, les données collec- tées dès leur collecte et, d'autre part, les données mémorisées dans un ordre chronologique inverse de l'ordre d'enregistrement, - enregistrer les données reçues par ledit récepteur extérieur.
2. Procédé selon la revendication 1, dans lequel l'évènement est une défaillance d'un équipement du véhicule.
3. Procédé selon la revendication 1, dans lequel l'évènement est une commande d'un opérateur du véhicule.
4. Procédé selon la revendication 1, dans lequel les données comportent des données de différents types et les données sont émises dans un ordre de priorité tenant compte de leur type.
5. Procédé selon la revendication 4, dans lequel les données comportent des premières informations relatives à une validité de données provenant d'un équipement particulier et des deuxièmes informations relatives à un fonctionnement dudit équipement, les premières informations étant prioritaires sur les deuxièmes informations tant que les deuxièmes informations ne révèlent pas un dysfonctionnement dudit équipement.
6. Procédé selon la revendication 4, dans lequel l'ordre de priorité est déterminé en fonction : de l'évènement lui-même, d'une phase de fonctionnement du véhicule au moment de la détection de l'évènement, ou decaractéristique du ou des réseaux de télécommunication disponibles pour l'émission.
7. Procédé selon la revendication 1, les données collectées et émises comportent des données vocales.
8. Procédé selon la revendication 1, dans lequel les données émises transitent par au moins un relais avant d'atteindre le récepteur.
9. Procédé selon la revendication 1, dans lequel le relais est un des éléments suivants : un satellite, un véhicule alentour, un relais terrestre fixe.
10. Procédé selon la revendication 1, dans lequel le récepteur est un organisme tiers de confiance.
11. Procédé selon la revendication 1, dans lequel l'émission des données ne peut être désactivée avant l'arrivée du véhicule à destination ou avant une phase de fonctionnement prédéterminée du véhicule.
12. Procédé selon la revendication 1, comprenant l'étape de chiffrer les données avant leur émission.
13. Procédé selon la revendication 1, dans lequel les données sont émises par trames en association avec une information temporelle.
14. Système de sauvegarde de données de fonctionnement d'un véhicule comportant une unité de traitement (1) des données reliée à un réseau de collecte des don- nées (2) et à un module sécurisé d'enregistrement (3), caractérisé en ce que l'unité de traitement est également reliée à une mémoire (4) à laquelle est reliée une unité d'émission (5) des données mémorisées vers l'extérieur du véhicule, l'unité de traitement étant programmées pour transmettre des données à enregistrer au module sécurisé d'enregistrement et à la mémoire, l'unité d'émission étant agencée pour émettre les données collectées au fur et à mesure de leur transmission à la mémoire et les don-nées mémorisées dans un sens inverse de l'ordre de mémo- risation.
15. Système selon la revendication 14, dans le-quel l'unité de traitement (1) comprend un premier module de traitement (1.1) et un deuxième module de traitement (1.2) qui sont indépendants l'un de l'autre et sont tous deux reliés au réseau de collecte des données (2), le premier module de traitement étant relié au module sécurisé d'enregistrement (3) et le deuxième module de traitement étant relié à la mémoire (4).
16. Système selon la revendication 14, dans le- quel un plus grand nombre de données est transmis à la mémoire (4) par rapport au module sécurisé d'enregistrement (3).
17. Système selon la revendication 14, dans le-quel la mémoire (4) et l'unité d'émission (5) sont asso- ciées à au moins une batterie de secours (6).
18. Système selon la revendication 14, dans le-quel l'unité d'émission (5) est programmée pour émettre en temps réel sur un premier canal d'émission les données collectées au fur et à mesure de leur transmission à la mémoire et sur un deuxième canal les données mémorisées dans le sens inverse de l'ordre de mémorisation.