FR2991073A1

FR2991073A1 - Procede d'affichage d'une donnee emise par deux voies de communication distinctes

Info

Publication number: FR2991073A1
Application number: FR1254879A
Authority: FR
Inventors: Denis Delville; Lionel Robin; Patrick Valette; Bruno Larois
Original assignee: Sagem Defense Securite SA
Current assignee: Safran Electronics and Defense SAS
Priority date: 2012-05-25
Filing date: 2012-05-25
Publication date: 2013-11-29
Anticipated expiration: 2032-05-25
Also published as: FR2991073B1

Abstract

La présente invention concerne un procédé d'affichage d'une donnée mis en oeuvre par un système d'affichage, ladite donnée étant reçue par le système d'affichage via deux voies de communication distinctes. Le procédé est caractérisé en ce qu'il comporte une étape d'affichage au cours de laquelle les données reçues par ces deux voies de communication sont affichées en alternance de manière à déclencher une alerte lorsque les données reçues présentent une différence.

Description

La présente invention concerne le domaine de l'affichage de donnée critique dans un système où la sûreté de l'affichage de donnée est obligatoire. Plus précisément, elle concerne un procédé d'affichage d'une donnée mis en oeuvre par un système d'affichage, d'une donnée qui est émise par calculateur et qui est reçue par le système d'affichage via deux voies de communication distinctes. Cette invention peut, entre autres, être utilisée pour afficher des données critiques de maintenance d'un aéronef sur du matériel électronique et informatique standard, qui n'a pas subi de qualification spécifique de sûreté. Elle peut aussi être utilisée dans d'autres secteurs ayant des contraintes de sécurité et de sûreté de données tels que l'aviation, le nucléaire, le ferroviaire, l'automobile, etc. Cette invention peut s'appliquer aux systèmes embarqués ou non, aux données de maintenance ou opérationnelles affichées sur des afficheurs embarqués ou sur des portables. Tous les éléments constituant un système où la sûreté de l'affichage de donnée est obligatoire n'ont pas obligatoirement le même niveau de criticité, c'est-à-dire les mêmes effets face à une défaillance, une erreur ou une mal-fonction. Par exemple, dans un avion, un système permettant des commandes de vol regroupe différentes fonctions, implémentées dans des calculateurs qui communiquent entre eux via un système d'information formé de plusieurs sous-systèmes de criticités différentes. Certains sous-systèmes, situés par exemple dans le poste de pilotage de l'avion, ont des niveaux de criticité élevés car une défaillance des équipements qui mettent en oeuvre ces sous-systèmes peut avoir des conséquences désastreuses pour la vie des passagers. D'autres sous-systèmes, situés par exemple dans la cabine des passagers, ont des niveaux de criticité beaucoup plus faibles car une défaillance d'un écran, par exemple, ne met pas en danger la vie des passagers mais dégrade uniquement leur niveau de confort (il ne fait que les priver, par exemple, d'un film qu'ils sont en train de regarder). Les systèmes d'affichage qui se trouvent dans le poste de pilotage ont donc un niveau de criticité très élevé. Toutefois, ces systèmes sont coûteux et imposent, généralement, des contraintes importantes aux calculateurs alors émetteurs des données à afficher et au canal de communication entre le calculateur émetteur et l'afficheur. De plus, les systèmes d'affichage habituels sont sous-dimensionnés par rapport aux données toujours plus volumineuses qui doivent être affichées. L'introduction d'afficheurs tels que des tablettes graphiques courantes « grand public», les « téléphones intelligents » (Smartphone, en anglais) ou équivalent, pour l'affichage de données critiques dans un environnement sécurisé est donc un besoin actuel et récurrent pour des raisons de coût notamment. Toutefois, ce type d'afficheur pose le problème de garantir l'intégrité totale et non ambigüe des données affichées.

Le problème résolu par la présente invention est d'afficher une donnée critique émise par un calculateur sur un afficheur d'un système où la sûreté de l'affichage de donnée est obligatoire tout en s'assurant que la donnée affichée est identique à la donnée originellement émise par le calculateur. A cet effet, la présente invention concerne un procédé d'affichage d'une donnée mis en oeuvre par un système d'affichage, ladite donnée étant reçue par le système d'affichage via deux voies de communication distinctes. Le procédé est caractérisé en ce qu'il comporte une étape d'affichage au cours de laquelle les données reçues par ces deux voies de communication sont affichées en alternance de manière à déclencher une alerte lorsque les données reçues présentent une différence.

L'affichage alterné des données reçues depuis les deux voies de communication permet d'assurer que la donnée affichée est bien identique à la donnée émise par le calculateur. Selon un mode de réalisation, la donnée reçue via l'une des deux voies est affichée selon un premier format d'affichage et la donnée reçue via l'autre des deux voies est affichée selon un second format d'affichage distinct du premier format d'affichage, lesdits premier et second formats d'affichage étant définis pour déclencher l'alerte dès que les données reçues ainsi affichées diffèrent l'une de l'autre. L'affichage alterné des données reçues selon des formats d'affichage différents permet, en plus de l'effet technique précédent, de s'assurer que le système d'affichage fonctionne correctement. L'alerte permettra, de plus, de mettre l'opérateur en garde, de façon intuitive, étant donné qu'il ne saura pas déterminer de façon sûre le message affiché. Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels: La Fig. unique représente un schéma d'un système d'affichage selon la présente invention.

De manière générale, la présente invention concerne un procédé d'affichage d'une donnée mis en oeuvre par un système d'affichage, ladite donnée étant reçue par le système d'affichage via deux voies de communication distinctes. Le procédé est caractérisé en ce qu'il comporte une étape d'affichage au cours de laquelle les données reçues par ces deux voies de communication sont affichées en alternance de manière à déclencher une alerte lorsque les données reçues présentent une différence. Selon un mode de réalisation, la donnée reçue via l'une des deux voies est affichée selon un premier format d'affichage et la donnée reçue via l'autre des deux voies est affichée selon un second format d'affichage distinct du premier format d'affichage, lesdits premier et second formats d'affichage étant définis pour déclencher l'alerte dès que les données reçues ainsi affichées diffèrent l'une de l'autre. La Fig., représente schématiquement un exemple de système d'affichage S qui met en oeuvre ce procédé. Un calculateur C est la source d'une donnée à afficher sur un afficheur AF du système d'affichage S. Le système d'affichage S comporte, en plus de l'afficheur AF, un séquenceur temporel ST de fréquence F délivrée par un module O tel qu'un oscillateur de fréquence. Le séquenceur temporel ST est ici représenté schématiquement par un interrupteur. Ceci ne limite en rien la portée de la présente invention.

Le système d'affichage S comporte également deux modules MA1 et MA2 dont la fonction est de formater une donnée se présentant à leur entrée selon un format prédéterminé. Ainsi, une donnée D qui se présente à l'entrée du module MA1 est formatée selon un premier format d'affichage pour obtenir une donnée Dl formatée et une donnée D qui se présente à l'entrée du module MA2 est formatée selon un second format d'affichage pour obtenir une donnée D2 formatée. Selon une variante, les fonctions assurées par les modules MA1 et MA2, sont totalement indépendantes l'une de l'autre. En d'autre termes, si ces fonctions sont réalisées par logiciel, elles sont complètement dissymétriques (applications différentes, langage de programmation différent, librairies différentes, ...) Lesdits premier et second formats d'affichage sont définis pour déclencher une alerte AL dès que les données D 1 et D2 ne représentent pas une même donnée reçue, c'est-à-dire lorsque les données reçues qui se présentent à l'entrée des modules MA1 et MA2 ne sont pas identiques, ou que les fonctions assurées par les modules MA1 et/ou MA2 sont erronées (c'est-à-dire, introduction d'une erreur dans la transformation de la donnée d'entrée en vue de son affichage, erreur logiciel ou autre). Le module MA1 est relié au calculateur par une voie de communication V1 tandis que le module MA2 est relié au calculateur C par une voie de communication V2. Les voies de communication V1 et V2 sont distinctes l'une de l'autre, c'est-à-dire qu'elles n'utilisent pas les mêmes canaux de communication. Ces canaux de communication peuvent être définis soit à partir de différents médiums soit sur un même médium. De préférence, les canaux de communication sont supportés par des mediums différents et indépendants l'un de l'autre de manière à minimiser la probabilité qu'une même erreur se produise simultanément sur ces deux canaux de communication. Dans le cas où les canaux de communication sont supportés par le même medium, les deux canaux sont indépendants, toujours de façon à minimiser la probabilité qu'une erreur ne se produise même en cas de panne sur ce medium. L'une des façons de réaliser cette contrainte est de transférer les données V1 et V2 sous deux formats différents (par exemple, format « entier » et format « chaine de caractères ») Le système d'affichage S met en oeuvre le procédé d'affichage de la manière suivante : une donnée D à afficher est émise par le calculateur C sur les voies de communication V1 et V2. Ces données sont reçues par le système d'affichage C via 20 les deux voies de communication V1 et V2. Les modules MA1 et MA2 reçoivent donc chacun une version de la donnée originale D à afficher. Chacune de ces versions peut, ou pas, comporter des erreurs de transmission. Les versions reçues de la donnée D sont formatées pour obtenir les données D1 et D2. Ces données D1 et D2 sont alors affichées sur l'afficheur AF en alternance 25 selon une fréquence F délivrée par l'oscillateur AF au séquenceur temporel ST. La donnée à afficher est par exemple un caractère ASCII ou une chaîne de caractères. Elle peut également être une vidéo ou encore une image, par exemple de type bitmap. On peut noter qu'un caractère ou une chaîne de caractères peut-être représenté 30 par une image de type bitmap ce qui augmente la robustesse de la transmission de la donnée originale D sur les deux voies de communication. En effet, si la donnée transmise n'est pas une image et qu'une erreur se produit sur un caractère transmis par exemple sur la voie V1, alors D1 et D2 ne représentent pas le même caractère et une alerte se déclenche.

Par contre, si la donnée transmise est sous forme d'une image et qu'une erreur se produit, deux cas de figures se présentent alors selon le degré de différence entre les deux voies de communication : - La différence est suffisamment mineure pour se traduire par un affichage dont l'erreur est indétectable par l'oeil humain. Les données affichées sont donc considérées comme conformes aux données d'origine. - La différence est suffisamment importante pour se traduire par un affichage dont l'erreur est détectable par l'oeil humain (incohérence de forme ou de couleur par exemple). Le lecteur décide alors d'utiliser ou non les données affichées. Selon un mode de réalisation, le premier format d'affichage consiste à afficher la donnée reçue sur la voie V1 selon une première couleur (en noir par exemple) sur un fond dans une autre couleur (blanc par exemple) et le second format d'affichage consiste à afficher la donnée reçue sur la voie de communication V2 selon cette autre couleur (blanc) sur un fond de la première couleur (ici noir) (ou encore appelé : Vidéo Inverse). Ainsi, en affichant en alternance les données Dl et D2, un observateur voit un clignotement de la donnée reçue. Il pourra alors détecter si D 1 et D2 représentent la même donnée car il distinguera alors s'il y a des différences de contenu. Cet opérateur sera donc alerté d'un problème de transmission ou de formatage pour l'affichage de la donnée et agira en conséquence. De plus, ce clignotement assure à cet observateur que le système d'affichage S fonctionne correctement c'est-à-dire que les données Dl et D2 sont bien affichées en alternance. Des variantes de ce mode de réalisation sont possibles. Par exemple, le premier format d'affichage consiste à afficher la donnée reçue sur la voie V1 selon une première couleur, le second format d'affichage consiste à afficher la donnée reçue sur la voie de communication V2 selon une seconde couleur et ce sur un fond en une troisième couleur. On obtient ainsi un effet de clignotement des données affichées sur un fond identique. Un autre exemple est d'afficher un signe vertical sur les données reçues selon la voie de communication V1 et un signe horizontal sur les données reçues selon la voie de communication V2. L'effet visuel est alors une rotation du signe additionnel. Tout ou partie des procédés décrits ci-dessus en relation avec la Fig. peut être implémenté sous forme logicielle par exécution d'un ensemble d'instructions par une machine programmable, comme un ordinateur portable, un calculateur embarqué, un CPU (Centralize Processor Unit en anglais ou Unité de calcule centralisé en français), un DSP (Digital Signal Processor en anglais ou Unité de Traitement de Signal Numérique en français) ou un microcontrôleur, ou être implémenté sous forme matérielle par une machine ou un composant dédié, tel qu'un FPGA (Field- Programmable Gate Array en anglais ou Matrice de Portes Logiques Programmable en français) ou un ASIC (Application-Specific Integrated Circuit en anglais ou Circuit Intégré Spécifique à une Application en français).

Claims

REVENDICATIONS1) Procédé d'affichage d'une donnée mis en oeuvre par un système d'affichage, ladite donnée étant reçue par le système d'affichage via deux voies de communication distinctes, caractérisé en ce qu'il comporte une étape d'affichage au cours de laquelle les données reçues par ces deux voies de communication sont affichées en alternance de manière à déclencher une alerte lorsque les données reçues présentent une différence.
2) Procédé selon la revendication 1, dans lequel la donnée reçue via l'une des deux voies est affichée selon un premier format d'affichage et la donnée reçue via l'autre des deux voies est affichée selon un second format d'affichage distinct du premier format d'affichage, lesdits premier et second formats d'affichage étant définis pour déclencher l'alerte dès que les données reçues ainsi affichées diffèrent l'une de l' autre.
3) Procédé selon la revendication 2, dans lequel la donnée affichée est une chaîne d'au moins un caractère et/ou une image et/ou une vidéo.
4) Système d'affichage d'une même donnée reçue via deux voies de communication distinctes, caractérisé en ce qu'il comporte des moyens pour afficher 20 en alternance les données reçues par ces deux voies de communication de manière à déclencher une alerte lorsque les données reçues présentent une différence.
5) Produit programme d'ordinateur, caractérisé en ce qu'il comprend des instructions pour mettre en oeuvre, par un système d'affichage conforme à la 25 revendication 4, le procédé selon l'une des revendications 1 à 3 lorsque ledit programme est exécuté par un processeur du système d'affichage.
6) Moyens de stockage lisibles par ordinateur, caractérisés en ce qu'ils stockent un programme d'ordinateur comprenant des instructions pour mettre en oeuvre, par un 30 système d'affichage adapté, le procédé selon l'une des revendications 1 à 3, lorsque ledit programme est exécuté par un processeur du système d'affichage conforme à la revendication 4.