FR3014273A1

FR3014273A1 - Systeme de transmission de donnees applicatives avioniques

Info

Publication number: FR3014273A1
Application number: FR1302814A
Authority: FR
Inventors: Patrice Georges Paul Toillon; Vincent Christophe Cedric Sollier; Champeaux Paul Marie Boivin; David Jose Faura
Original assignee: Thales SA
Current assignee: Thales SA
Priority date: 2013-12-03
Filing date: 2013-12-03
Publication date: 2015-06-05
Anticipated expiration: 2033-12-03
Also published as: US20160347267A1; FR3014273B1; US9713992B2

Abstract

Ce système de transmission de données applicatives avioniques entre des moyens de production et de consommation de données, les données applicatives étant transmises sous forme d'unités de transmission de données comportant chacune : - au moins une portion d'un message applicatif ; et - un message additionnel (MA) contenant des informations d'identification et de contrôle ; est caractérisé en ce que le message additionnel (MA) comporte : - une séquence d'identification (MDA) comportant une partie statique (ID) permettant d'identifier le message applicatif et sa source et une partie variable (VAR) permettant de distinguer le message de manière unique ; et - une séquence de contrôle (MCS) destinée à contrôler l'intégrité du message applicatif et basée sur une séquence représentant un code de contrôle de redondance cyclique de la concaténation d'au moins une portion du message applicatif correspondant à ladite unité, avec la séquence d'identification (MDA).

Description

Système de transmission de données applicatives avioniques La présente invention concerne un système de transmission de données applicatives avioniques. Plus particulièrement, l'invention se rapporte à un tel système de transmission de données applicatives avioniques entre des moyens de production et des moyens de consommation de données, les données applicatives étant transmises sous forme d'unités de transmission de données, chaque unité de transmission comportant : - au moins une portion d'un message applicatif ; et - un message additionnel contenant des informations d'identification et de contrôle associées à ce message applicatif. De manière générale, la transmission de données applicatives dans des systèmes avioniques répond à un certain niveau de robustesse requis par la réglementation aéronautique. Ce niveau dépend de la nature des données à transmettre et est d'autant plus élevé que les données sont sensibles.

Ainsi, les systèmes de transmission dans des systèmes avioniques permettent non seulement une transmission de données entre des moyens de production et des moyens de consommation de données mais également assurent l'intégrité des données transmises. Il est donc important de pouvoir détecter des erreurs éventuelles de transmission.

En pratique, les erreurs de transmission de données applicatives sont inévitables. Ainsi, les systèmes de transmission des données applicatives doivent permettre de détecter au moins une partie de ces erreurs. La partie des erreurs détectées varie en fonction de la nature des données. Différents systèmes de transmission de données applicatives permettant de détecter au moins une partie d'erreurs de transmission existent déjà dans l'état de la technique. De tels systèmes permettent en particulier d'intégrer dans chaque unité de transmission contenant un message applicatif des moyens de vérification d'intégrité de ce message applicatif.

Ainsi, par exemple, le document WO 2010/0009965 A2 décrit un système de transmission permettant d'intégrer dans l'unité de transmission contenant un message applicatif, un bloc d'authentification. Ce bloc d'authentification est mis en oeuvre par des techniques cryptographiques et se base sur le message applicatif et sur une clé.

Par ailleurs le document FR 2878097 Al décrit également un procédé de transmission de cette nature et mettant en oeuvre des codes différents pour coder des blocs de symboles d'informations successifs. La présente invention a pour but de proposer un système de transmission de données applicatives avioniques permettant de détecter la non-intégrité d'un message applicatif à un niveau compatible avec des exigences aéronautiques. Un tel système ne fait pas appel à des mécanismes de propagation spécifiques et s'applique à tout type de réseau de communications comme ceux par exemple qui font partie de la norme de communication ARINC 664.

A cet effet, l'invention a pour objet un système de transmission de données applicatives avioniques, du type précité dans lequel le message additionnel comporte : - une séquence d'identification comportant une partie statique permettant d'identifier le message applicatif et sa source et une partie variable permettant de distinguer le message de manière unique et certaine ; et - une séquence de contrôle destinée à contrôler l'intégrité du message applicatif et basée sur une séquence principale représentant un code de contrôle de redondance cyclique de la concaténation d'au moins une portion du message applicatif correspondant à ladite unité, avec la séquence d'identification. Selon des modes particuliers de réalisation de l'invention, le système comporte l'une ou plusieurs des caractéristiques suivantes : - la séquence de contrôle et la séquence d'identification sont distinctes ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une clé représentée par un champ de la partie variable de la séquence d'identification ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une clé représentée par une séquence variable dans le temps et connue par les moyens de production et de consommation à chaque instant ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une première clé représentée par un codage d'un champ de la partie variable de la séquence d'identification avec une deuxième clé représentée par une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une première clé représentée par le résultat de l'application de l'opérateur XOR entre : - un champ de la partie variable de la séquence d'identification ; et - une séquence connue par les moyens de production et de consommation et + la séquence principale ; la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une clé représentée par un champ de la partie variable de la séquence d'identification ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une clé représentée par une séquence variable dans le temps et connue par les moyens de production et de consommation à chaque instant ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une première clé représentée par un codage d'un champ de la partie variable de la séquence d'identification avec une deuxième clé représentée par une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une première clé représentée par le résultat de l'application de l'opérateur XOR entre : - un champ de la partie variable de la séquence d'identification ; et - une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la ou chaque clé n'est connue que par les moyens de production et de consommation pour permettre en outre d'assurer la l'authenticité des messages ; - pour un message applicatif formé d'une pluralité de portions ordonnées, la séquence de contrôle de l'unité de transmission associée à la première portion est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification correspondant à cette portion ; et - une valeur initiale prédéterminée ; et + la séquence principale correspondant à cette portion ; et la séquence de contrôle de l'unité de transmission associée à chaque portion suivante est le résultat de l'application de l'opérateur XOR entre : + une séquence auxiliaire résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification correspondant à cette portion ; et - une séquence auxiliaire correspondant à la portion précédente et + la séquence principale correspondant à cette portion ; - pour un message applicatif formé d'une pluralité de portions ordonnées, la séquence de contrôle de l'unité de transmission associée à la première portion est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification et au moins une portion du message applicatif ; et - une valeur initiale prédéterminée ; et + la séquence principale correspondant à cette portion ; et la séquence de contrôle de l'unité de transmission associée à chaque portion suivante est le résultat de l'application de l'opérateur XOR entre : + une séquence auxiliaire résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif ; et - une séquence auxiliaire correspondant à la portion précédente ; et + la séquence principale correspondant à cette portion. - la séquence de contrôle est repartie dans la séquence d'identification selon une loi de distribution connue par les moyens de production et de consommation ; - la loi de distribution est constante dans le temps ; - la loi de distribution est variable dans le temps ; - la loi n'est connue que par les moyens de production et de consommation pour permettre en outre d'assurer la confidentialité des messages ; - la séquence d'identification comporte des informations choisies dans le groupe comprenant en outre : + des informations d'identification des moyens de production du message applicatif correspondant, + des informations d'identification du message applicatif correspondant, + des informations d'ordre d'élaboration du message applicatif correspondant, + des informations de numéro de séquence d'élaboration du message applicatif correspondant, + des informations de date d'élaboration du message applicatif correspondant ; le message additionnel est associé au message applicatif en totalité ou portion de celui-ci par portion. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, sur lesquels : - la figure 1 est une vue schématique illustrant un système de transmission de données applicatives avioniques selon l'invention ; - la figure 2 est une vue schématique illustrant une unité de transmission à transmettre par le système de la figure 1 ; - la figure 3 est un schéma illustrant une division d'un message applicatif à transmettre par le système de la figure 1 en une pluralité de portions ; - la figure 4 est une vue schématique d'un message additionnel sans distribution faisant partie de l'unité de transmission de la figure 2 ; - la figure 5 est un organigramme illustrant un cinquième mode de réalisation de l'invention ; et - la figure 6 est une vue schématique d'un message additionnel avec distribution faisant partie de l'unité de transmission de la figure 2. On a en effet représenté sur la figure 1, un exemple d'un système 10 de transmission de données applicatives avioniques selon l'invention. Ce système de transmission est utilisable dans des systèmes avioniques. Un tel système de transmission 10 comporte par exemple des moyens de production de données applicatives et des moyens de consommation de telles données, désignés respectivement par les références générales 12 et 14 sur cette figure 1. Les moyens de production 12 sont représentés par tout moyen apte à produire des données applicatives à destination des moyens de consommation 14. Un tel moyen comprend par exemple un équipement, une partie d'équipement, un capteur, une partition, une application, un logiciel et/ou un matériel. De manière analogue, les moyens de consommation 14 sont représentés par tout moyen apte à consommer des données applicatives émises par les moyens de production. Un tel moyen comprend par exemple un équipement, une partie d'équipement, un actuateur, une partition, une application, un logiciel et/ou un matériel.

Les moyens de production et de consommation sont par exemple embarqués à bord d'un aéronef. Les données applicatives comportent par exemple des consignes de pilotage de l'aéronef. En fonction de leurs tâches précises, ces consignes peuvent être redondantes et/ou répondre à un certain niveau de robustesse. Les moyens de production et de consommation sont raccordés entre eux dans un réseau informatique de communication avionique désigné par la référence générale 16 sur la figure 1. Le réseau 16 comporte une pluralité de ressources matérielles, comme par exemple des câbles raccordant physiquement les moyens de production et de consommation entre eux et par exemple des commutateurs assurant le transfert entre ces moyens, des données numériques. Un tel ensemble de ressources matérielles forme un ensemble de chemins physiques pour les données applicatives.

Le réseau 16 comporte également une pluralité de ressources immatérielles assurant un tel transfert au niveau logiciel. Ces ressources comportent par exemple des ressources de traitement, des ressources de mémorisation ou des ressources de communication. Le réseau informatique 16 est conforme par exemple à la norme de communication ARINC 664. L'architecture du réseau 16 est apte à supporter par exemple le concept d'avionique modulaire intégrée (IMA pour « Integrated Modular Avionics » en anglais). Les moyens de production 12 sont aptes à transmettre des données applicatives vers les moyens de consommation 14 en utilisant le même chemin physique et les mêmes ressources immatérielles du réseau 16. Les données applicatives sont transmises sous forme d'unités de transmission de données. Un exemple d'une telle unité de transmission est représenté schématiquement sur la figure 2 où cette unité de transmission est désignée par la référence générale 20. L'unité de transmission 20 est formée par un message applicatif M et un message additionnel MA comportant par exemple des informations d'identification et de contrôle associées à ce message applicatif. Le message applicatif M représente par exemple une consigne indépendante émise par les moyens de production 12 vers les moyens de consommation 14. En variante, l'unité de transmission est formée par une portion P du message applicatif M et un message additionnel MA associé à cette portion. Ainsi, le message M est divisé en une pluralité de portions P et chaque portion P est transmise via le réseau 16 par une unité de transmission. Ainsi, le terme « unité de transmission de données» utilisé dans la présente description signifie l'association d'un message applicatif M ou d'une portion P de ce message applicatif M, et d'un message additionnel MA dans le sens défini ci-dessus. On a représenté sur la figure 3, un message M divisé en quatre portions P1, P2, P3 et P4. Ces portions sont transmises via le réseau 16 par des unités de transmission indépendantes désignées respectivement par des références générales 31, 32, 33 et 34 sur cette figure 3.

Chaque unité de transmission 31, 32, 33 et 34 est formée par une portion Pl, Per P3 et P4 correspondante et par un message additionnel MA,, MA2, MA3 et MA4 comportant par exemple des informations d'identification et de contrôle associées à cette portion. Une telle division permet d'optimiser la couverture du mécanisme d'intégrité en adaptant la longueur de la portion aux performances intrinsèques du contrôle utilisé du réseau 16. Cette division permet en outre d'optimiser le fonctionnement du réseau 16 en adaptant la longueur de la portion à la vitesse de traitement de cette portion par les moyens de production 12 et par les moyens de consommation 14.

Au sein des moyens de production 12, un tel traitement est assuré par des moyens de formation d'unités de transmission désignés par la référence générale 22 sur la figure 1. Ces moyens sont par exemple aptes à diviser le message M en portions P. Ils sont par ailleurs aptes à former une unité de transmission pour chaque message applicatif M ou pour chaque portion P de ce message en ajoutant un message additionnel associé à ce message applicatif M ou à cette portion P. Finalement, les moyens de formation d'unités de transmission 22 sont aptes à émettre les unités de transmission formées dans le réseau 16. De même, au sein des moyens de consommation 14 le traitement des unités de transmission est assuré par des moyens de lecture d'unité de transmission désignés par la référence générale 24 sur la figure 1. Les moyens de lecture 24 sont aptes à recevoir une unité de transmission et à en extraire le message applicatif M ou la portion P du message applicatif M correspondant à cette unité de transmission. Les moyens de lecture 24 sont par ailleurs aptes à lire le message additionnel MA correspondant à chaque portion ou à chaque message reçu(e).

Ce message additionnel MA permet notamment aux moyens de lecture 24 de vérifier l'intégrité du message M reçu ou de la portion P reçue. Les moyens de lecture 24 sont aussi aptes à reconstituer un message applicatif M à partir des portions P reçues de ce message. Dans la suite de la présente description, on ne distinguera plus un message applicatif M et une portion P d'un message applicatif M. Le terme « message applicatif M » signifiera un message applicatif M ou une portion P d'un message applicatif M dans le sens défini ci-dessus. La figure 4 illustre schématiquement un exemple de structure d'un message additionnel MA sans distribution associé à un message applicatif M.

Ce message additionnel MA est apte à être formé par les moyens de formation d'unités de transmission 22 et à être lu par les moyens de lecture 24 de la figure 1.

Ainsi, selon la figure 4, le message additionnel MA comporte une séquence d'identification MDA. Cette séquence d'identification MDA est formée par une partie statique ID permettant d'identifier le message applicatif M et sa source dans le réseau et une partie variable VAR permettant de distinguer le message applicatif M de manière unique et certaine et en particulier, de distinguer deux occurrences du même message. Ainsi par exemple, la partie statique ID comporte un premier champ et un deuxième champ. Le premier champ est par exemple de taille de 6 bits et est formé par exemple par un identificateur du producteur du message applicatif M. Cet identificateur identifie de manière unique les moyens de production 12 ayant émis ce message M dans le réseau 16. Il correspond par exemple à l'identificateur de la source (en anglais « Partition Id Source ») dans le cas de l'architecture IMA de type ARINC 653.

En variante, cet identificateur correspond au numéro de capteur associé aux moyens de production 12. En variante encore, cet identificateur correspond à la position des moyens de production 12. Le deuxième champ est par exemple de taille de 10 bits et est formé par exemple par un identificateur du message applicatif M dans le réseau 16. La partie variable VAR de la séquence MDA comporte par exemple un champ MSN et un champ MPT. Le champ MSN est par exemple de taille de 16 bits et est formé par un numéro correspondant à l'ordre d'élaboration du message applicatif M.

En variante, le champ MSN pourrait aussi associer à l'ordre d'élaboration du message applicatif M, l'ordre d'élaboration de la portion P pour le même ordre de message. Le champ MPT est par exemple de taille de 32 bits et comprend par exemple la date (instant) d'élaboration du message applicatif M.

Le message additionnel MA comporte en outre une séquence de contrôle MCS destinée à contrôler l'intégrité du message applicatif M et est basée sur une séquence principale SP. La séquence principale SP est représentée par exemple par un code de contrôle de redondance cyclique CRC de la concaténation du message applicatif M avec la séquence d'identification MDA, c'est-à-dire : SP = CRC(M MDA) où le symbole o désigne l'opérateur de concaténation. Le code de contrôle de redondance cyclique CRC est obtenu par exemple avec utilisation d'un ou de plusieurs polynômes générateurs. Selon un premier mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une clé représentée par le champ MPT de la séquence d'identification MDA.

Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN. Un tel codage est réalisé par exemple avec une loi de Hash (ou autres primitives cryptographiques) avec une clé représentée par le champ MPT. Ainsi, la clé est différente d'un message applicatif M à l'autre et est variable temporellement pour le même producteur. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XOR[EKeyA (ID o MSN); SPi où E yA désigne la primitive cryptographique utilisée (comme la loi de Hash par exemple) et KeyA désigne la clé représentée par le champ MPT. En variante, le codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne alors la relation suivante : MCS = XOR[EKeyA (ID o MSN o M); SPi. Selon un deuxième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une clé représentée par une séquence variable dans le temps.

Cette séquence est connue par les moyens de production et de consommation à chaque instant. Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN. Un tel codage est réalisé par exemple avec une loi de Hash avec une clé à changement cyclique.

Un tel changement cyclique permet notamment aux moyens de production et de consommation de connaitre la clé sans l'avoir communiquée explicitement via le réseau 16. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XOR[EK,),A(,) (ID o MSN); SPI où KeyA(t) désigne la clé cyclique et variable dans le temps. En variante, le codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XORLE'KeyA(i) (ID MSN o M); SPi. Selon un troisième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une première clé. Un tel codage est réalisé par exemple avec une loi de Hash. Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN.

La première clé est représentée par un codage du champ MPT de la séquence d'identification MDA avec une deuxième clé. Un tel codage est réalisé par exemple par une fonction de codage avec une clé différente d'un message à l'autre et variable temporellement. La deuxième clé représentée par une séquence connue par les moyens de production et de consommation. Cette deuxième clé est connue uniquement par les moyens de consommation et de production concernés et est stockée dans leur table de configuration respective. Ceci signifie en particulier que la clé n'est pas apte à être connue extérieurement ce qui permet d'assurer l'authenticité des données transmises.

Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XOR[EKeyA (ID o MSN); SPi où KeyA désigne la première clé définie par la relation : KeyA = FKeyB(MPT) où F désigne la fonction de codage et KeyB la deuxième clé. En variante, le premier codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XORI.E'KeyA (ID a MSN o M); SPi.

Selon un quatrième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une première clé. Un tel codage est réalisé par exemple avec une loi de Nash. Ladite partie de la séquence d'identification MDA est représentée par exemple par la partie statique ID et par le champ MSN. La première clé est représentée par le résultat de l'application de l'opérateur XOR entre le champ MPT de la séquence d'identification MDA et une séquence connue par les moyens de production et de consommation. Cette séquence est connue uniquement par les moyens de consommation et de production concernés et est stockée dans leur table de configuration respective. Ceci signifie en particulier que la clé n'est pas apte à être connue extérieurement ce qui permet d'assurer l'authenticité des données transmises. La première clé est différente d'un message applicatif M à l'autre et est variable temporellement. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = X011[EKeyA (ID o MSN); SPi où KeyA désigne la première clé définie par la relation : KeyA = XOR[KeyB;MPT] où KeyB désigne la séquence connue par les moyens de production et de consommation.

En variante, le premier codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XORLE'KeyA (ID o MSN o M); Spi. Dans les quatre modes de réalisation décrits ci-dessus, lorsqu'un message applicatif M fait référence à une portion P d'un message applicatif M, c'est-à-dire lorsque le message applicatif M est divisé en une pluralité de portions P, la création de la partie MCS du message additionnel MA associé à une portion P est indépendante des autres portions P du même message applicatif. Ainsi, dans les quatre modes de réalisation décrits ci-dessus, le procédé de contrôle de l'intégrité d'un message applicatif M est dit « sans chainage ». Dans la suite, on note Seq la séquence en entrée de la primitive cryptographique EKeyA , représentée par exemple par la loi de Hash, selon l'un des quatre modes de réalisations précédentes. Selon un cinquième mode de réalisation, la séquence en entrée de la primitive cryptographique EKeyA de la première portion P d'un message applicatif M est le résultat de l'application de l'opérateur XOR entre la séquence Seqi correspondant à la première portion P et une valeur initiale IV (de l'anglais « Initial Value ») prédéterminée, c'est-à-dire : MCS1 = XORLEKeyA (X0R[Seqi ; /V)); SPI.

La séquence en entrée du codage des portions P suivantes du même message applicatif M est le résultat de l'application de l'opérateur XOR entre la séquence Seq; et une séquence auxiliaire calculée pour la portion précédente : MCS, = XOR{EKeyA (X0R[Seq, ; SA, ._1 spi , où i désigne le numéro de la portion P dans le message applicatif M, désigne la séquence auxiliaire calculée pour la portion P ayant le numéro i -1, c'est-à- dire : = E KeyA (X0R[Seq, b et SA1 = E KeyA (X0R[Seq, ; /Vb . Ainsi, ce mode de réalisation est récursif et est dit « avec chainage ». Ce mode de réalisation est par ailleurs expliqué par l'organigramme de la figure 5.

Sur cette figure 5, un message applicatif M est divisé en trois portions désignées par les références générales P1, P2 et P3. Chaque portion de ce message est apte à être transmise par une unité de transmission. Ainsi, comme illustré sur cette figure 5, la séquence de contrôle MCS, correspondant à la première portion P1 est obtenue d'après les formules ci-dessus en utilisant une première séquence auxiliaire SA,. Cette première séquence auxiliaire SA, est par ailleurs obtenue en utilisant la séquence Seq, correspondante et la valeur initiale IV. La séquence de contrôle MCS2 correspondant à la deuxième portion P2 est obtenue d'après les formules ci-dessus en utilisant une deuxième séquence auxiliaire SA2. Cette deuxième séquence auxiliaire SA2 est par ailleurs obtenue en utilisant la séquence Seq2 correspondante et la première séquence auxiliaire SA,. La séquence de contrôle MCS3 correspondant à la troisième portion P3 est obtenue de manière analogue.

Dans les cinq modes de réalisation décrits ci-dessus, les séquences MDA et MCS sont distinctes comme ceci est montré sur la figure 4. Ainsi, dans ces modes de réalisation, le message additionnel MA est dit « sans distribution ». Selon un sixième mode de réalisation, la séquence de contrôle MCS est repartie dans la séquence d'identification MDA selon une loi de distribution.

Ainsi, dans ce mode de réalisation, le message additionnel MA est dit « avec distribution ». La figure 6 illustre schématiquement un exemple de structure d'un message additionnel MA avec distribution associé à un message applicatif M. Cette loi de distribution est connue par les moyens de production et de consommation. Elle définit par exemple des mêmes positions fixes des portions de la séquence MCS dans la séquence MDA pour tous les messages applicatifs M. En variante, cette loi définit par exemple des positions variables des portions de la séquence MCS dans la séquence MDA pour des différents messages applicatifs M en fonction par exemple de l'occurrence d'un message applicatif M sur l'autre. Dans ce dernier cas, la loi de distribution est donc variable dans le temps. Les moyens de formation 22 permettent de former un message additionnel MA comportant la séquence de contrôle MCS repartie dans la séquence d'identification MDA selon cette loi.

De même, les moyens de lecture 24 sont aptes à extraire la séquence de contrôle MCS de la séquence d'identification MDA en utilisant cette loi. Dans ce mode de réalisation, la séquence de contrôle MCS est égale par exemple à la séquence principale, c'est-à-dire : MCS = SP Autrement dit, cette séquence de contrôle MCS est créée sans aucun codage. En variante, la séquence de contrôle MCS est créée selon l'une des cinq techniques correspondant aux cinq premiers modes de réalisation de l'invention. Bien entendu, de nombreuses autres combinaisons des modes de réalisation sont également possibles.

Le fonctionnement du système de transmission 10 selon l'invention va être décrit maintenant.

Une consigne produite par les moyens de production 12 à destination des moyens de consommation 14 est d'abord transformée en un message applicatif M. Ce message applicatif M est ensuite traité par les moyens de formation d'unités de transmission 22.

Dans ces moyens 22, le message applicatif M est divisé en une pluralité de portions P. Une telle division s'effectue par exemple en fonction de la longueur du message M. Cette division permet notamment d'optimiser le fonctionnement de différents composants du réseau 16 en fonction de la vitesse de traitement des données.

Dans certains cas, le message M n'est pas divisé. Ensuite, les moyens de formation d'unités de transmission 22 associent à ce message applicatif M ou à une portion P correspondant à ce message M un message additionnel MA. Le message additionnel MA contient des informations d'identification et de contrôle associées à ce message applicatif M. Ainsi, les moyens 22 construisent d'abord une séquence d'identification MDA. Cette séquence peut être associée au message applicatif entier M ou à sa portion P. Les moyens 22 construisent ensuite une séquence de contrôle MCS en utilisant l'une des techniques de construction décrites ci-dessus.

Pour le sixième mode de réalisation, les moyens de formation d'unités de transmission 22 font en plus une répartition de la séquence de contrôle MCS dans la séquence d'identification MDA selon une loi de distribution. Ainsi, le message applicatif M ou la portion P et le message additionnel MA associé forment une unité de transmission qui est transmise ensuite dans le réseau 16.

Après la réception de l'unité de transmission par les moyens de consommation 14, l'intégralité du message applicatif M ou de sa portion P est vérifiée d'abord par les moyens de lecture 24. Ainsi, les moyens de lecture extraient d'abord le message applicatif M ou sa portion P de l'unité de transmission reçue.

Pour le sixième mode de réalisation, les moyens de lecture 24 extraient en plus la séquence de contrôle MCS de la séquence d'identification MDA selon la loi de distribution. Les moyens de lecture 24 construisent ensuite une séquence de contrôle MCS' en utilisant le message M reçu ou sa portion P reçue et la séquence MDA reçue.

Cette construction est basée sur la même technique de construction utilisée par les moyens de formation d'unités de transmission 22.

Ensuite, les moyens de lecture 24 comparent la séquence de contrôle MCS reçue avec la séquence de contrôle MCS' reconstruite. Si les deux séquences sont identiques, la transmission du message M ou de sa portion P a été effectuée sans erreur.

Si les deux séquences ne sont pas identiques, la transmission du message M ou de sa portion P a été effectuée avec des erreurs. Après la réception de toutes les portions P correspondant au même message applicatif M, les moyens de lecture 24 reconstituent ce message M et le transmettent ensuite dans les moyens de consommation 14.

Bien entendu d'autres modes de réalisation peuvent encore être envisagés.

Claims

REVENDICATIONS1.- Système de transmission (10) de données applicatives avioniques entre des moyens (12) de production et des moyens (14) de consommation de données, les données applicatives étant transmises sous forme d'unités de transmission de données (20), chaque unité de transmission (20) comportant : - au moins une portion (P) d'un message applicatif (M) ; et - un message additionnel (MA) contenant des informations d'identification et de contrôle associées à ce message applicatif (M) ; caractérisé en ce que le message additionnel (MA) comporte : - une séquence d'identification (MDA) comportant une partie statique (ID) permettant d'identifier le message applicatif (M) et sa source et une partie variable (VAR) permettant de distinguer le message (M) de manière unique et certaine ; et - une séquence de contrôle (MCS) destinée à contrôler l'intégrité du message applicatif (M) et basée sur une séquence principale (SP) représentant un code de contrôle de redondance cyclique (CRC) de la concaténation d'au moins une portion (P) du message applicatif (M) correspondant à ladite unité (20), avec la séquence d'identification (MDA).
2.- Système de transmission (10) selon la revendication 1, caractérisé en ce que la séquence de contrôle (MCS) et la séquence d'identification (MDA) sont distinctes.
3.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une clé (KeyA) représentée par un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - la séquence principale (SP).
4.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une clé (KeyA(t)) représentée par une séquence variable dans le temps et connue par les moyens de production (12) et de consommation (14) à chaque instant ; et - la séquence principale (SP).
5.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre :- une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une première clé (KeyA) représentée par un codage d'un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) avec une deuxième clé (KeyB) représentée par une séquence connue par les moyens de production (12) et de consommation (13); et - la séquence principale (SP).
6.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une première clé (KeyA) représentée par le résultat de l'application de l'opérateur XOR entre : - un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - une séquence (KeyB) connue par les moyens de production (12) et de consommation (14) ; et - la séquence principale (SP).
7.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une clé (KeyA) représentée par un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - la séquence principale (SP).
8.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une clé (KeyA(t)) représentée par une séquence variable dans le temps et connue par les moyens de production (12) et de consommation (14) à chaque instant ; et - la séquence principale (SP).
9.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une première clé (KeyA) représentée par un codage d'un champ (MPT) de la partie variable(VAR) de la séquence d'identification (MDA) avec une deuxième clé (KeyB) représentée par une séquence connue par les moyens de production (12) et de consommation (14) ; et - la séquence principale (SP).
10.- Système de transmission (10) selon la revendication 2, caractérisé en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une première clé (KeyA) représentée par le résultat de l'application de l'opérateur XOR entre : - un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - une séquence (KeyB) connue par les moyens de production (12) et de consommation (14) ; et - la séquence principale (SP).
11.- Système de transmission (10) selon l'une quelconque des revendications 3 à 10, caractérisé en ce que la ou chaque clé (KeyA, KeyB) n'est connue que par les moyens de production (12) et de consommation (14) pour permettre en outre d'assurer la l'authenticité des messages (M).
12.- Système de transmission (10) selon l'une quelconque des revendications 3 à 11, caractérisé en ce que, pour un message applicatif (M) formé d'une pluralité de portions (P) ordonnées, la séquence de contrôle (MCS) de l'unité de transmission (20) associée à la première portion (P) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) correspondant à cette portion (P) ; et - une valeur initiale (IV) prédéterminée ; et - la séquence principale (SP) correspondant à cette portion ; et la séquence de contrôle (MCS) de l'unité de transmission (20) associée à chaque portion (P) suivante est le résultat de l'application de l'opérateur XOR entre : - une séquence auxiliaire (SA) résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre :- au moins une partie de la séquence d'identification (MDA) correspondant à cette portion (P) ; et - une séquence auxiliaire (SA) correspondant à la portion (P) précédente ; et - la séquence principale (SP) correspondant à cette portion.
13.- Système de transmission (10) selon l'une quelconque des revendications 3 à 11, caractérisé en ce que, pour un message applicatif (M) formé d'une pluralité de portions (P) ordonnées, la séquence de contrôle (MCS) de l'unité de transmission (20) associée à la première portion (P) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) et au moins une portion (P) du message applicatif (M) ; et - une valeur initiale (IV) prédéterminée ; et - la séquence principale (SP) correspondant à cette portion ; et la séquence de contrôle (MCS) de l'unité de transmission (20) associée à chaque portion (P) suivante est le résultat de l'application de l'opérateur XOR entre : - une séquence auxiliaire (SA) résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) ; et - une séquence auxiliaire (SA) correspondant à la portion (P) précédente ; et - la séquence principale (SP) correspondant à cette portion.
14.- Système de transmission (10) selon l'une quelconque des revendications 3 à 13, caractérisé en ce que la séquence de contrôle (MCS) est repartie dans la séquence d'identification (MDA) selon une loi de distribution connue par les moyens de production (12) et de consommation (14).
15.- Système de transmission (10) selon la revendication 14, caractérisé en ce que la loi de distribution est constante dans le temps.
16.- Système de transmission (10) selon la revendication 14, caractérisé en ce que la loi de distribution est variable dans le temps.
17.- Système de transmission (10) selon l'une quelconque des revendications 14 à 16, caractérisé en ce que la loi n'est connue que par les moyens de production (12) et deconsommation (14) pour permettre en outre d'assurer la confidentialité des messages (M).
18.- Système de transmission (10) selon l'une quelconque des revendications précédentes, caractérisé en ce que la séquence d'identification (MDA) comporte des informations choisies dans le groupe comprenant en outre : - des informations d'identification des moyens de production du message applicatif (M) correspondant, - des informations d'identification du message applicatif (M) correspondant, - des informations d'ordre d'élaboration du message applicatif (M) correspondant, - des informations de numéro de séquence d'élaboration du message applicatif (M) correspondant, - des informations de date d'élaboration du message applicatif (M) correspondant.
19.- Système de transmission (10) selon l'une quelconque des revendications précédentes, caractérisé en ce que le message additionnel (MA) est associé au message applicatif (M) en totalité ou portion (P) de celui-ci par portion (P).