Brevet FR2752980A1 — publié le 19980306

La présente invention concerne un procédé et un dispositif de surveillance d'un avion en arrêt "stand-by". Elle concerne aussi un avion équipé d'un tel dispositif de surveilance. Elle trouve son application surtout pour protéger un aéronef, et particulièrement un aéronef civil, mais aussi d'autres genres de véhicules, comme un autocar, ou même des locaux. Dans la pratique aéronautique, l'avion est arrêté entre deux vols lors de ce que l'on appelle un arrêt "stand-by". Dans un tel arrêt "stand-by", l'avion est laissé sans surveillance parfois pendant de longues périodes. Or, parmi les risques entraînés par les intrusions dans les avions en arrêt "stand-by", on peut citer - le vol des instruments de bord ; - le remplacement d'instruments de bord originaux par des instruments de bord de moindre qualité - le vol de marchandises stockées dans l'avion ; - l'installation de marchandises de contrebande pour tromper la surveillance douanière - l'installation de passagers clandestins - la pose de bombes ou autres armes dangereuses. A chacun de ces risques est affecté un dommage que la compagnie exploitante de l'appareil doit assurer, ou à tout le moins, supporter, et l'augmentation de ces risques est souvent devenue insupportable. Pour résoudre le problème posé, une première solution pratiquée consiste à recruter des équipes de surveillance qui font sentinelle autour des avions au parking. Une telle solution est coûteuse et soumise au risque de défaillance humaine dont la probabilité s'accroît sur une longue période. Une seconde solution pratiquée par certaines compagnies de transport consiste à metre en oeuvre une procédure selon laquelle un témoin de fermeture de porte sous la forme d'une pastille est apposé sur chaque porte de l'avion par le personnel après l'évacuation de l'appareil. A la reprise en compte de l'appareil, avant toute ouverture d'une porte, l'état des témoins doit être vérifié un à un. Dans le cas où l'un deux est endommagé, il est nécessaire d'engager une procédure d'inspection de l'appareil, dangereuse et coûteuse. Dans l'état de la technique, on connaît des dispositifs de détection d'intrusion, qui permettent, à l'aide d'un capteur particulier qui détecte le mouvement d'un intrus, de produire une alarme de sorte qu'une intervention peut être programmée. C'est notamment le cas des dispositifs de détection périmétrique, ou de détection volumétrique. Dans un tel dispositif, les capteurs sont disposés en des endroits adaptés à la détection des mouvements de l'intrus. Ils sont reliés par un réseau de communication à un organe central de détection qui affecte une alarme au changement d'état d'un des capteurs quand il détecte un mouvement. Cependant, le problème technique à la base de l'invention n'est absolument pas résolu par de tels dispositifs ainsi qu'on l'indique plus loin. Par exemple, une troisième solution pratiquée consiste à utiliser des systèmes de détection périmétrique. Avec un tel système, l'aéronef est placé derrière une barrière "immatérielle", qui, quand elle est franchie, produit une alarme d'intrusion. Une telle solution permet de ne pas intervenir sur l'appareil. Mais sa mise en oeuvre est lourde, principalement parce que son efficacité exige que les capteurs constituant physiquement la barrière "immatérielle" (des rayons infrarouges le plus souvent) soient disposés de manière optimale, ce qu'il n'est pas possible de garantir, à chaque escale de l'appareil. De plus, étant disposé à une certaine distance de l'avion, le système de barrière "immatérielle" est soumis à un risque de fausses alarmes plus importants, ce qui rend son utilisation peu sûre. En particulier, le système de barrière "immatérielle" est soumis aux limitations locales qui imposent des angles morts et surtout, quand l'avion est au parking en extérieur, le système d'alarme est soumis aux conditions météorologiques. Par ailleurs, l'adaptation des dispositifs anti-intrusion classiques dans un aéronef se heurte aux règles particulièrement sévères, et on le comprend de soi-même, de sûreté aéronautique. En particulier, la plupart de ces systèmes risquent d'interférer avec le fonctionnement de l'aéronef en dehors de la période d'escale. De ce fait, l'installation d'un dispositif anti-intrusion de type classique, et du genre volumétrique, pour protéger un local comme un immeuble doté d'accès dans un aéronef est absolument exclue. Pour être compatible avec les règles aéronautiques, les inventeurs ont posé les neuf règles suivantes pour réaliser le dispositif de leur invention R1) Le dispositif doit être mobile et de préférence portatif. R2) L'alimentation électrique du dispositif doit être autonome. R3) Le dispositif doit résister aux tentatives de le neutraliser. R4) Le fonctionnement du dispositif ne doit pas être tributaire des conditions météorologiques. R5) Le dispositif doit être affecté d'un faible taux de fausses alarmes. R6) Le ou les capteurs doivent de préférence être passifs (non émetteurs), au moins en période d'absence de menace. Le dispositif ne doit pas perturber le fonctionnement d'autres équipements de l'aéroport ou être troublé par ceux-ci. R7) Le ou les capteurs doivent continuer la surveillance après détection d'une intrusion. R8) En cas d'intrusion, le dispositif doit pouvoir remplir l'une ou l'autre des fonctions suivantes - alerter l'autorité / l'exploitant ; - enregistrer le phénomène d'une façon permettant la restitution de l'information voulue. R9) Le service après-vente et les pièces de rechange doivent être rapidement disponibles. Pour atteindre ces objets et d'autres encore, l'invention concerne un procédé de surveillance d'un avion en arrêt "standby" selon lequel - on surveille en permanence l'état d'ouverture ou de fermeture des accès externes de l'avion à compter de la mise en action de la surveillance ; - on produit un signal représentatif d'un changement d'état d'au moins un accès quand il se produit ; - on déclenche une procédure d'alerte ; - on enregistre les informations relatives au changement d'état. Elle concerne aussi un dispositif de surveillance d'un avion en arrêt "stand-by", qui comporte - un ensemble de capteurs d'état d'ouverture ou de fermeture des accès externes de l'avion connectés à un bus embarqué de signaux ; - une centrale connectée à l'ensemble des capteurs d'état permettant de détecter tout changement d'état en fonction du temps - ladite centrale comportant une mémoire pour enregistrer, puis lire, les informations relatives au changement d'état. L'invention concerne aussi un avion équipé d'un tel dispositif de surveillance. D'autres caractéristiques et avantages de la présente invention seront mieux compris à l'aide de la description et des dessins annexés qui sont - la figure 1 : une vue en perspective d'un mode de réalisation d'une centrale autonome et portable du système de l'invention - la figure 2 : un schéma bloc d'un mode de réalisation d'une centrale autonome et portable du système de l'invention ; - la figure 3 : un organigramme d'un mode de réalisation du procédé de l'invention - la figure 4 : une vue d'un écran d'affichage de la centrale lors d'une étape du procédé de surveillance de l'invention ; - la figure 5 : une vue d'un autre écran d'affichage de la centrale lors d'une étape du procédé de surveillance de l'invention. - la figure 6 : une vue d'un autre périphérique connectable à la centrale du système de l'invention. Le dispositif de Surveillance d'Avion en arrêt "Stand-by" de l'invention comporte une centrale, qui est préférentiellement, mais non nécessairement, portable, compacte, délivrant et enregistrant toutes les informations concernant les caractéristiques d'une tentative d'intrusion dans un aéronef en arrêt "stand-by". Le dispositif de 1'invention est efficace et d'utilisation facile. Il comporte des moyens de stockage de l'information concernant les caractéristiques d'une tentative d'intrusion. Il est fiable, parce que, dans un mode particulier de réalisation, il est composé d'appareils du commerce qui sont prévus pour être connectés entre eux. Son entretien et son installation sont faciles. Il est sélectif avec des niveaux d'accès multiples (reconnaissance du type d'avion). Il teste les circuits sous surveillance fréquemment (typiquement deux fois par seconde), provoque une alarme pour toute tentative d'intrusion, la repéte une première fois sous une première temporisation (typiquement de 3 minutes) et ensuite régulièrement sous une seconde temporisation (typiquement de 20 minutes), tout en continuant la surveillance de l'avion. Il est facile d'exploitation, peu sensible à l'erreur et à la fausse interprétation humaine. Il réagit par l'alarme à toute tentative de neutralisation. Il n'a eu jusqu'à ce jour, pendant les essais, aucun disfonctionnement. Il est mobile, portatif, adaptable sur tout type d'avion conventionnel. Il provoque une alarme pour toute tentative de le neutraliser. A la figure 1, on a représenté schématiquement un mode de réalisation d'une partie du dispositif de l'invention. A la figure 1, la centrale portable est autonome est contenue dans une valise anti-chocs 1 équipée d'une poignée 16 et d'un verrou de fermeture sur le fond 2 et le couvercle articulé 3. La valise contient dans une garniture de protection tous les composants nécessaires au fonctionnement autonome et sûr de la centrale du dispositif de l'invention. On y voit notamment une unité d'affichage de messages 4, un clavier 5 de saisie de données alphanumériques et/ou de manipulations de pointeurs sur l'unité d'affichage, un groupe de batteries 6 et un chargeur de batteries 7. Sur un côté de la valise, sur sa partie de fond 2, sont disposés, respectivement - une antenne télescopique 10 de type Radio-Fréquences adaptée à échanger des messages entre la centrale et une organisation qui surveille les détections d'intrusion ; - un connecteur d'alimentation 12 par le réseau de distribution électrique - un connecteur de connexion 13 de la centrale aux divers capteurs d'état d'ouverture des accès ; - un connecteur de connexion 15 à une unité périphérique comme un connecteur de type liaison série RS232. D'autres composants de la centrale sont insérés dans la garniture et ne sont pas visibles à la figure 1. De même, le couvercle 3 est destiné à être refermé sur le fond 2 de la valise de sorte que le contenu en soit protégé. De plus, divers câbles de liaison non représentés permettent de connecter les connecteurs décrits ci-dessus, et les câbles sont enroulés et rangés dans le couvercle. Parmi les composants non représentés à la figure 1, on doit citer un chargeur de batteries électriques qui permet lors de périodes de disponibilité de la centrale à cette tâche, de recharger les batteries électriques 6 par exemple sur le réseau domestique de distribution d'électricité. Ce chargeur et le groupe de batteries assure une bonne autonomie de la centrale compatible avec les périodes au cours desquelles la centrale n'est pas disponible pour une recharge de ses batteries. Cette caractéristique assure une parfaite indépendance de la centrale avec les équipements de l'avion dans lequel elle est mise en service. La centrale comporte aussi une unité centrale comme celle d'un micro-ordinateur, particulièrement de type embarqué ou de type portable, ainsi que diverses mémoires contenant des moyens de stockage d'information. Ces moyens de stockage peuvent prendre une grande variété de formes incluant - des cartes à mémoire (par exemple de type flash), ou des cartes de type disque dur au format PCMCIA ; - des cartes électroniques équipés de circuits intégrés de mémoire vive sauvegardés par une batterie de carte mémoire ; - des disques durs classiques de format 1 pouce et demi ; et d'autres encore. Dans un mode préféré de réalisation, le module d'alimentation qui assure l'autonomie de la centrale comporte - une première batterie, dite batterie principale, de 12 Volts de tension de sortie et d'une capacité de 12 Ampères-heure, de genre Plomb gélifié ; - une seconde batterie, dite batterie tampon, de 4,8 Volts de tension de sortie et dune capacité de 2 Ampères-heure, de genre Cadnium/nickel - une troisième batterie, dite batterie de carte mémoire, de 3,6 Volts de tension de sortie et d'une capacité de 0,25 Ampères-heure, de genre Cadnium/nickel. La centrale est équipée aussi d'un système de surveillance de la tension de sortie des batteries, ainsi que d'un système de recharge des batteries. La centrale présente ainsi une autonomie de fonctionnement de 100 heures qui est suffisante dans la grande majorité des missions aéronautiques. L'unité centrale est constituée sur un ordinateur de marque Atari, référence Portfolio, programmable dans un langage informatique et comporte de plus un circuit d'interface des entrées/sorties sur l'ordinateur. Dans un mode particulier de réalisation, la centrale comporte aussi un poste émetteur/ récepteur sur la gamme V.H.F. en Modulation d'amplitude de 118,00/135,975 Mhz, de marque Icom, référence IC-A2. Le poste émetteur/ récepteur coopère, dans un mode préféré de réalisation, avec un générateur de messages vocaux pré-enregistrés, ledit générateur de messages vocaux étant activé par un port de sortie convenable de l'ordinateur compris dans la centrale de sorte que le message généré par le générateur de messages vocaux après sélection du canal convenable d'émission, informe une station de gestion des alarmes de la situation détectée. La station de gestion des alarmes comporte notamment un moyen d'enregistrement des références des messages reçue les dites références pouvant comporter les informations suivantes référence de la valise émettrice - message émis par la valise émettrice ; - date et heure réelles de la réception. Dans un tel système, le personnel qui gère la station de réception peut être doté de moyens permettant d'effectuer toute intervention susceptible de répondre à la situation décrite par le message reçu. Cependant, ce mode de réalisation, pour performant qu'il soit n'exige pas que l'invention soit réalisée sous cette forme. En effet, le système de l'invention peut fonctionner sous la forme d'une centrale portable unique et isolée, auquel cas cette dernière peut ne pas être équipée d'un poste émetteur/récepteur. Le canal récepteur du poste émetteur/récepteur est utilisé notamment à des fins d'acquittement d'opérations de communications de façon à assurer la qualité de la liaison entre la centrale et la station de gestion des alarmes. Le canal émetteur peut aussi être relié à un circuit vocal doté d'un microphone permettant un dialogue entre l'agent qui sert la centrale embarquée lors de sa phase de mise en route et l'agent resté à la station de gestion des alarmes. Dans un autre mode de réalisation, le poste émetteur/récepteur à ondes très hautes fréquences est remplacé par un dispositif de communications numériques utilisant tout support convenable, et notamment une liaison série de type informatique, une liaison par réseau téléphonique à l'aide d'un modulateurdémodulateur (modem), etc. La centrale ainsi constituée est comprise dans une valise métallique de dimensions : 37x29x14 cms. et présente une masse d'environ 8 kgs. A la figure 2, on a représenté un schéma-bloc d'un mode de réalisation de la centrale selon l'invention. Le chargeur est connecté par l'intermédiaire d'un connecteur secteur avec le réseau d'alimentation électrique. En fonctionnement de surveillance, le connecteur secteur n'est pas relié par un câble au réseau. La sortie électrique du chargeur est connectée par l'intermédiaire d'un moyen de sélection (non représenté) aux bornes de trois batteries : la batterie principale, la batterie tampon et la batteries mémoire. La batterie principale est branchée sur la batterie tampon qui est elle-même connectée aux bornes de polarisation des divers composants électiques de la centrale (connexions non représentées sauf avec l'unité centrale). La batterie mémoire est connectée sur la carte mémoire et permet de sauvegarder le contenu de la mémoire qui sera décrit plus loin. L'unité centrale, convenablement programmée, ainsi qu'il sera décrit plus loin, est connectée par un bus à un circuit d'interface d'entrées/ sorties. Les messages produits par l'unité centrale en fonction du programme qui sera décrit plus loin, sont transmis selon le périphérique adressé - sur un afficheur alphanumérique et/ou graphique - sur un émetteur de messages radio-fréquences. Le programme implanté sur l'unité centrale appelle des données générées sur un clavier par l'utilisateur, particulièrement en début et en fin de surveillance, ainsi qu'il sera décrit plus loin, et des données générées par l'ensemble des capteurs (non représentés à la figure 2) qui permettent chacun de déterminer l'état d'ouverture (ou de fermeture) d'un accès à l'avion. Selon l'invention, chaque accès à l'intérieur de l'aéronef (ou plus généralement du véhicule destiné à être surveillé) est doté d'au moins un capteur d'état d'ouverture. Un tel capteur est de type à contacts galvaniques, une partie équipée d'une première borne étant montée mécaniquement sur l'ouvrant de l'accès, et une autre partie équipée d'une seconde borne étant montée mécaniquement sur le dormant de l'accès. Leurs montages mécaniques respectifs sont tels que, lorsque l'accès est fermé, les première et seconde bornes du capteur sont en contact électrique l'une avec l'autre, et à l'inverse, les première et seconde bornes du capteur sont disjointes lorsque l'accès est ouvert. Les première et seconde bornes du capteur sont connectées par une paire de lignes à un circuit de détection de l'état d'ouverture selon le fait que la continuité est assurée ou non sur le circuit incluant le capteur. Chaque capteur est affecté d'un identificateur qui correspond à l'accès surveillé de sorte que la surveillance de l'état d'un capteur donné informe le dispositif de l'invention de l'état d'ouverture de l'accès sur lequel le capteur est disposé. Par ailleurs, la caractéristique du capteur est enregistrée de sorte que le dispositif de l'invention dispose de l'information sur l'état normal de fonctionnement du capteur (passant ou bloqué) lors de la surveillance. Il est clair que, si le nombre des accès dans un aéronef est trop important, d'autres techniques peuvent être mises en oeuvre. En particulier, la surveillance d'un ensemble de capteurs d'état d'ouverture des accès à l'aéronef peut être multiplexée dans le temps, une fenêtre temporelle étant affectée cycliquement à chaque capteur, avec une fréquence plus rapide que celle d'une intrusion possible. I1 en résulte qu'avec un nombre réduit de fils l'homme de métier sait facilement surveiller un nombre très élevé de capteurs dans un seul aéronef. Dans un tel cas, le circuit d'interface des entrées/ sorties comporte aussi un multiplexeur. Par ailleurs, certains avions sont déjà équipés de tels capteurs de l'état d'ouverture de accès. Mais, les capteurs et le bus, éventuellement multiplexé, sur lequel ils sont connectés, sont affectés jusqu'à ce jour à des tâches de sécurité aérienne, pour l'aéronef en vol de façon à avertir d'une défaillance d'un accès lors du vol ou lors de la phase d'envol, et il est hors de question, pour des raisons de sûreté aéronautique de les utiliser tel quel. Enfin, le faible coût et la robustesse des capteurs précités les fait préférer à tout autre. Mais, il est clair que d'autres capteurs peuvent être utilisés pour détecter l'état d'ouverture d'un accès particulier, ou de chacun des accès. C'est le cas des capteurs inductifs, pour lesquels on détecte l'ouverture d'un circuit magnétique, ou des capteurs à rayons infrarouges qui détectent le mouvement dans un accès. Dans ces cas aussi, le circuit d'interface des entrées/sorties est équipé de circuits convenables pour exploiter de tels capteurs. Pour la centrale de la figure 2, les capteurs considérés sont du type à interruption de circuit électrique, et sont connectés par un bus filaire interne à l'aéronef. Selon un autre objet de l'invention, la centrale comporte un moyen pour détecter les éventuelles interventions d'un pirate sur le logiciel et/ou le fonctionnement de la centrale pendant la surveillance Dans un mode préféré de réalisation de ce moyen de détection des interventions pirate, la centrale du système de l'invention comporte une horloge interne dont le séquencement est identique au temps universel, c'est à dire, que à la précision près, une fois réglée sur une date et une heure réelle, l'horloge interne indique en permanence cette donnée de temps réel remise à jour de façon à être, sauf disfonctionnement ou situation d'alarme, identique au temps réel, par exemple indiqué sur la montre de poignet de l'agent de sécurité qui sert le système de surveillance de l'invention. En effet, grâce à l'analyse de la date et de l'heure produites par l'horloge interne du dispositif, il est possible de détecter une intervention non autorisée sur la centrale, au cours de laquelle auraient été modifiés la date et l'heure de l'horloge interne. On peut donc ainsi détecter une situation extrême dans laquelle un pirate est parvenu à s'introduire dans l'aéronef en surveillance, à intervenir sur le programme inscrit dans la centrale par exemple pour effacer les alarmes et à remettre la centrale en mode normal de surveillance. Dans une telle intervention, la date et l'heure produites par l'horloge interne de la centrale ne coïncideront plus avec celles inscrites préalablement. Afin de détecter une telle situation, l'agent chargé du service de la centrale doit enregistrer sur un registre séparé de la centrale (par exemple sous forme d'un livre à écriture manuelle, ou d'un autre ordinateur) la date et l'heure réelles à laquelle l'agent intervient sur la centrale et la date et l'heure produites par la centrale. Si l'écart dépasse les tolérances, l'agent doit exécuter une procédure d'alerte et par exemple demander une inspection complète de toutes les issues de l'avion pour détecter les effets d'une intrusion éventuelle. Par ailleurs, dans une variante, la centrale comporte un moyen pour enregistrer la Date et l'heure du début de la surveillance. Quand la centrale comporte un ordinateur doté d'une mémoire permanente, elle enregistre ces données dans un fichier informatique désigné ici par Dhb.txt. Les données de ce fichier sont alors exploitées pour comparer la date et l'heure en cours à diverses heures et dates pour en tirer des conditions d'alerte, comme il sera montré à titre d'exemple plus loin. En particulier, dans un mode préféré de réalisation, le fichier Dhb.txt est effacé lorsque l'agent de service de la centrale met fin normalement à l'exécution du programme. Au redémarrage, la détection de la présence d'un fichier Dhb.txt est donc indicatif d'une situation anormale qui est signalée. Elle suppose une interruption accidentelle ou agressive du fonctionnement de la centrale. Selon un autre objet de la présente invention, la centrale comporte un moyen d'autodétermination du type d'avion sur lequel la centrale est embarquée, et de ce fait aussi, de l'état, de la position et du nombre de chacun des capteurs d'état des ouvertures. Dans un mode préféré de réalisation de ce moyen, la valise de la centrale comporte un connecteur accessible de l'extérieur de la valise, et auquel un câble est connecté. Le câble comporte l'ensemble des fils de liaison aux capteurs d'état des ouvertures de l'aéronef. Or, le connecteur prévu comporte en général plus de connexions possibles qu'il n'y a de fils de liaison. Il en résulte que certaines connexions du connecteur de la valise ne sont pas connectées électriquement ou sont connectées entre elles par des cavaliers de sorte que l'état électrique de ces connexions peut être lu par le logiciel implanté sur l'ordinateur de la valise. Il est alors possible de coder de manière conventionnelle prédéterminée, le type de chaque avion et d'enregistrer une table des états normaux, du nombre et des dispositions des capteurs d'état pour chaque type d'avion. Lors de l'initialisation au début du programme, le connecteur de liaison aux capteurs d'état est lu par l'ordinateur auquel il est connecté de sorte que le type d'avion soit détecté par le code binaire présenté sur les connexions du connecteur. L'ordinateur adresse ensuite la table des états normaux des capteurs, nombre et positions respectives de ceux-ci pour ouvrir les surveillances et les diverses variables que le logiciel devra ultérieurement calculer et afficher, ainsi qu'on le décrit plus loin à titre d'exemple. Selon un autre aspect de l'invention, la centrale comporte aussi un moyen de détection de la continuité du câble de liaison entre le connecteur avion de la valise et les capteurs d'état. Dans un mode préféré de réalisation, ce moyen de détection de continuité est constitué par deux fils du câble des fils de liaison aux capteurs d'état. Ces deux fils sont réservés à ce moyen. Leurs extrêmités distantes de la centrale sont court-circuitées ensemble. Leurs extrêmités dans le câble du côté du connecteur avion sur la centrale (connecteur 13, figure 1) sont connectées à deux connexions du connecteur avion. En appliquant une tension d'essai par le moyen d'un port de sortie de l'ordinateur placé à une tension continue convenable, à l'une des bornes du connecteur avion, le logiciel doit détecter cette tension sur l'autre borne connectée à un port d'entrée convenable de l'ordinateur. Si la tension n'est pas détectée sur ce port d'entrée en concordance avec la tension appliquée, le logiciel en déduit ou bien que le câble n'est pas connecté au connecteur avion ou bien que ce dernier a été endommagé. Une telle surveillance permet notamment de détecter un sabotage par coupure du connecteur avion (déconnexion du câble ou sectionnement de ce dernier) lors de la période de surveillance. A la détection d'une telle occurence, le système génère une situation d'alarme spécifique. Selon un autre aspect de l'invention, la centrale comporte aussi un moyen de détection de l'état d'ouverture de la valise dans laquelle est installée la centrale embarquée. Dans un mode préféré de réalisation, ce moyen de détection de l'état d'ouverture de la valise est constitué par un capteur d'état d'ouverture du couvercle dont la position fermée place le capteur d'état dans un premier état et dont la position ouverte place le capteur d'état dans un second état, le mécanisme de cette détection étant tout à fait analogue à celui de la détection d'état des capteurs surveillant les accès à l'aéronef. Un port de sortie de l'ordinateur applique une tension à une borne du capteur quand il est réalisé par un interrupteur, et un port d'entrée de l'ordinateur permettant de lire l'état du capteur. La valeur lue est inscrite dans une variable d'état du capteur. Un tel moyen de détection permet en particulier de détecter les ouvertures non autorisées de la valise particulièrement pendant la phase de surveillance. On va maintenant décrire le procédé de surveillance de l'invention à l'aide du programme implanté dans la centrale de la figure 2. A la figure 3, on a représenté un organigramme général du procédé de l'invention. Le non respect du procédé de l'invention tel que décrit ciaprès, risque de perturber le fonctionnement du système. Il faut donc l'observer lors de chaque mise en arrêt "stand-by" de l'aéronef. A la figure 3, l'organigramme comporte quatre étapes respectivement, d'installation, d'initialisation, de surveillance et d'intervention éventuelle, ou de reprise en compte de l'avion. Le processus est arrêté par l'étape de reprise en compte de l'aéronef assurée par un agent de service de la centrale qui vient constater l'absence d'intrusions ou d'interventions pirate sur la centrale. On va maintenant détailler les étapes du procédé de la figure 3. Dans la description qui suit, l'indication de la frappe d'une touche du clavier permet de décrire à titre d'exemple non limitatif une intervention nécessaire de l'agent de service de la centrale. Elle dépend bien entendu de l'interface utilisateur réalisée. Lors de la première étape, dite d'installation, quatre opérations doivent être effectuées a : le personnel chargé de la mise en oeuvre du système s'assure qu'une seule porte est ouverte sur l'avion (la porte par laquelle l'agent chargé de la mise en route du système devra sortir) b : le cordon de connexion du connecteur avion sur la centrale est branché sur le connecteur correspondant sur l'avion en un point déterminé par son constructeur ainsi qu'en fonction de son brochage ; c : l'antenne est sortie de son couvercle et raccordée à la centrale d : un panneau de visualisation (qui sera décrit plus loin) est branché à la centrale et rendu visible de l'extérieur de l'avion, notamment en l'installant sur l'intérieur d'une glace du poste de pilotage donnant sur l'extérieur. Lors de la seconde étape, dite d'initialisation du système, quatre nouvelles opérations sont exécutées - la valise dans laquelle est disposée la centrale est ouverte et posée sur un plan de travail dans le poste de pilotage ; - une initialisation du programme est effectuée par appui sur le bouton RESET de r - Vérifier que sous chaque lettre représentant un accès fermé figure un caractère = et que sous celles représentant la porte et la valise ouvertes, figure le signe ! et que ce dernier ne figure nulle part ailleurs. L'autre signe devant figurer sous les lettres de la rangée est = . (Voir Fig. 4) - Appuyer sur les touches FN puis FH du clavier 1 Alarme test avec date et heure signalée sur l'écran. 2 Emission de l'alarme spécifique de la valise sur la fréquence sélectionnée. 3 Appuyer sur les touches FN puis Fin (bien séparer ces deux actions). Le résultat de cette opération est positif si l'indication des secondes sur l'affichage de l'heure se met à défiler. - Fermer la valise - Sortir de l'avion en refermant la seule porte laissée ouverte. Lors de la quatrième étape, dite d'intervention (fait d'intervention après alarme ou en fin de surveillance), de nouvelles opérations sont exécutées, dont certaines sont optionnelles ou dépendent des circonstances - Vérifier de l'extérieur de l'appareil, sur le panneau de visualisation, la cohérence des informations (décrit plus loin). - Pénétrer dans l'avion - > Emission d'une première alarme (normale) - Ouvrir la valise - > Emission d'une deuxième alarme (normale) - Vérifier et noter la date, l'heure affichée sur l'écran, ainsi que les positions des X ou des ! ( X indique qu'une porte a été ouverte puis refermée, ! indique qu'une porte est ouverte, voir Figure 5 - Appuyer sur les touches FN puis Fin , pour réaliser une sortie normale du programme. A partir de cette action, il n'y a plus de surveillance sur l'avion. - Vérifier qu'aucune information n'a été oubliée par l'agent de service. - Appuyer à nouveau sur les touches FN puis Fin L'interface utilisateur permet de faire apparaître le déroulement des événements qui se sont produits pendant la période de surveillance et qui ont été enregistrés dans les moyens de stockage de la centrale (possibilités de déroulement à l'aide des fléches verticales par lecture séquentielle d'un fichier événements). - Quatre événements réputés normaux doivent être respectivement 1 Fermeture de la valise 2 Fermeture de la porte passager suite au début de surveillance 3 Ouverture de la porte par laquelle l'agent de service vient d'entrer 4 Ouverture de la valise - Appuyer sur les touches FN puis Fin - > Apparition du curseur A > La visualisation des différents événements est de nouveau possible en tapant 00 suivi de Return - L'extinction de l'écran se produit en tapant FN et O ; - Débrancher les cables et antenne, puis fermer la valise. On va maintenant décrire le fonctionnement interne de la balise lors d'un cycle de surveillance d'un aéronef en "stand by". On utilise une suite d'instructions en pseudo-codes facilement interprétables, auxquels sont ajoutés les commentaires nécessaires. Début Effacement écran Init Initialisation variables Commentaire : il s'agit des variables utilisées par le logiciel pour exécuter la surveillance et dont les plus significatives sont TémoinConfig : état dans lequel doit se trouver chaque capteur quand tous les accès surveillés sont fermés AncienneConfig : état dans lequel se trouvaient les capteurs lors de la lecture précédente NouvelleConfig : état dans lequel se trouve actuellement les capteurs Erreur : contient une valeur codant une situation anormale du programme FlagdeFin : mise à des valeurs prédéterminées pour bloquer l'exécution du logiciel si certaines situations sont détectées par le logiciel à son démarrage. Lecture type d'avion sur connecteur Commentaire : routine participant à un mode de réalisation du moyen d'autodétermination du type d'avion décrit plus haut. Détermination du nombre de portes et de trappes Commentaire : routine participant à un mode de réalisation du moyen d'autodétermination du type d'avion, la description des accès étant inscrite dans une table adressée par le type d'avion acquis à l'étape précédente. Détermination de la porte principale (en général la porte avant gauche Initialise TEMOIN~CONFIG Commentaire : routine constituant un mode de réalisation du moyen d'autodétermination du type d'avion, la table du nombre des accès contenant aussi à l'adresse pointée par le type d'avion détecté précédemment l'état nominal - des tensions produites par les ports de sortie de l'ordinateur - de toutes les portes, issues et trappes qui définit le système de fonctionnement et toutes les portes fermées et constituant aussi un mode de réalisation du moyen de détection de l'état d'ouverture de la valise (décrit plus haut) à l'aide du capteur d'ouverture du couvercle de la valise. Lecture des tensions d'alimentation (des trois batteries) si tension mesurée Commentaire : ERREUR est une variable programme décrite plus haut qui enregistre toute situation anormale de fonctionnement de la valise. Si à la fin des tests, EREUR n'est pas trouvé égal à 0, la variable FlagdeFin décrite ci-dessus est placée à l'état logique VRAI et le programme se termine en indiquant sur l'écran la raison pour laquelle il ne peut poursuivre la surveillance (notamment en affichant le contenu de la variable ERREUR). Test continuité cable avion-valise si pas continuité : ERREUR=- 1 Commentaire : routine constituant une partie du moyen de détection de la continuité du câble de liaison entre le connecteur avion de la valise et les capteurs d'état décrite plus haut Tentative d'ouverture du fichier DHB.txt si DHB.txt existe : ERREUR = - 3 Commentaire : ce test constitue une partie du moyen de détection d'une intervention pirate sur la centrale puisque le fichier Dhb.txt est effacé lors de la sortie normale du programme lors de la surveillance précédente. Lecture état porte porte principale si porte fermée : ERREUR= - 5 Lecture état des autres portes si l'une des des portes est ouverte : ERREUR = - 5 Commentaire : le système s'assure que la porte principale est ouverte pour permettre la sortie de l'opérateur et que toutes les autres portes sont fermées au lancement du programme ALARME (ERREUR) ,(sans effet si ERREUR = 0)) Initialise ANCIENNE~CONFIG Commentaire : Ce tableau est chargé par le contenu de l'état antérieur des capteurs LI PORTE (voir détail plus loin) FIN INIT si ERREUR=0 sinon- > fin de prog. Commentaire : test permettant de bloquer l'exécution de la surveillance en cas de panne ou de disfonctionnement du système de l'invention. Ouverture en écriture du fichier DHB.txt dans lequel on charge date et heure de base Commentaire : le logiciel inscrit dans le fichier Dhb.txt la date et l'heure de base fournies par l'horloge interne du système. Cette routine constitue une partie du moyen de détection des interventions pirate décrit précédemment. Afficher message "NOTER DATE ET HEURE DE BASE" (voir Figure 5) Commentaire : Cette routine constitue une partie du moyen de détection des interventions pirate décrit précédemment. Elle exige la participation de l'agent de service de la centrale qui doit noter ces données de date et heure de base dans un registre prévu à cet effet. Noter date et heure de base Répète lecture clavier Commentaire : boucle d'attente de la frappe d'une touche quelconque pour indiquer que l'agent a réellement enregistrer la date et l'heure de base. si touche pgdn - > test émetteur Commentaire : l'ordinateur active un port de sortie connecté à l'émetteur pour le placer sous tension et activer le générateur de messages vocaux en sélectionnant le message parlé : "valise numéro XXX test" à destination de la station de gestion des alarmes. si touche pgup - > test émetteur et message par l'opérateur jusqu'à touche fin Commentaire : cette commande permet de mettre l'émetteur sous tension et de communiquer avec la station de gestion des alarmes au moyen d'un microphone incorporé au poste émetteur. Initialisation fichier d 'événements sauvegarde date et heure de base Répète procédure LIPORTE Commentaire : la procédure LIPORTE permet la lecture des capteurs et l'affichage de l'heure à l'écran. Elle retourne ces données sous forme d'une chaîne de caractères. Mise à jour panneau de signalisation avec la date et heure de base et avec la date et heure actuelle Lecture porte LIPORTE Lecture clavier jusqu'à touche FIN ou FLAG~DE~FIN si touche FIN sinon- > fin de prog Lecture et affichage du fichier d'événements Effacement fichier DHB.txt Commentaire : cette routine constitue une partie du moyen de détection d'intervention pirate. Fin ERREUR=0 Fin de prog ALARME (n") si FLAG~DE~REPETITION test temporisation si temporisation atteinte : active la carte son et l'émetteur Commentaire : le port de sortie de l'ordinateur activé par cette commande délivre un signal numérique binaire au générateur de messages vocaux qui détermine par une table que la valeur transmise pointe quel message vocal doit être émis. si n 0 construction du message d'alarme sur l'écran Commentaire : Le message construit indique la cause de l'alarme comme "Porte F ouverte" ; active si nécessaire le n de message de la carte son active l'émetteur (la carte son et l'émetteur ne sont pas activés lors des alarmes issues de la phase d'initialisation ERREUR mise à jour du FLAG~DE~REPETITION Commentaire : la répétition a lieu en fonction d'une temporisation si n = 1 ( défaut d'alimentation ) : mise à jour du FLAG~DE~FIN (tempo) Commentaire : FlagdeFin est chargé à une valeur déterminée pour signaler que le système doit ss'interrompre. On introduit une temporisation "tempo" pour permettre une intervention rapide. Fin alarme PROCEDURE LIPORTE Commentaire : détail des instructions de cette procédure appellée dans le corps du programme détaillé plus haut. initialise NOUVELLE CONFIG = 0 lecture de toutes les portes Commentaire : cette routine définit NOWELLE CONFIG (on appelle portes tous les items surveillés ) ouvert signifie état non nominal ou anormal fermé signifie état nominal ou normal ouverture signifie de normal à anormal chgt d'état fermeture signifie de anormal à normal chgt d'état pour chaque porte si NOWELLE CONFIG TEMOlN CONFIG : PORTE OWERTE si NOWELLE CONFIG ANCIENNE~CONFIG : CHANGEMENT~D'ETAT mise à jour de l'état des portes à l'écran si CHANGEMENT~D'ETAT mise à jour message écran dernier événement mise à jour du fichier d'événements si PORTE OWERTE : ALARME (porte) Commentaire : l'événement vient de se produire mise à jour à l'écran de la ligne mémoire ouverture de porte mise à jour du panneau de signalisation du voyant mémoire ouverture de porte si FLAG~DE~REPETITION : ALARME (répétition) fin LIPORTE A la figure 4, on a représentée une vue d'un écran d'affichage de la centrale lors d'une étape du procédé de surveillance de l'invention. L'écran est constitué par un afficheur alphanumérique. Il est entendu qu'il peut être constitué par un écran graphique incorporé à la centrale, ou encore par un terminal de visualisation comme un terminal graphique dans une tour de contrôle ou dans le poste de pilotage de l'aéronef sous surveillance, ou encore un terminal de visualisation graphique disposé dans une station de gestion des alarmes pour la surveillance d'avions en arrêt "stand-by", chacun équipé d'une centrale analogue à celle décrite précédemment et connectée à la station de gestion des alarmes par une liaison hertzienne ou autre. L'affichage présenté à la figure 4 est copié sur un affichage d'une centrale lors de l'étape d'initialisation du procédé de l'invention. A la première ligne de l'affichage, on a déjà indiqué dans la zone 20 : la date de base ; dans la zone 21 : l'heure de base tels que ces données sont inscrites dans le fichier dhb.txt ; dans la zone 22 : le type de l'aéronef sous surveillance, tel que cette donnée est détectée par le moyen d'autodétermination du type d'avion décrit plus haut. A la seconde ligne dans la zone 23, dite ligne des items ou indicateurs descriptifs, on a affiché trois indicateurs descriptifs de l'état de la centrale repérés par les lettres "a", I "c" et "v". La lettre "a" est l'indicateur de l'état des batteries, la lettre "c" est l'indicateur de la continuité du câble de liaison avec l'avion tel qu'elle est testée par le moyen de détection de sa continuité décrit plus haut et la lettre "v" est l'indicateur de l'état du capteur d'ouverture du couvercle de la valise. Puis, la seconde ligne de l'affichage présente des indicateurs correspondant aux accès surveillés de l'aéronef, repérés par les lettres de "A" à "K". A la troisième ligne dans la zone 24, on a affiché sous chacun des indicateurs descriptifs de la ligne 23, un code d'état pris parmi f"=" , " !"}. Le signe "=" indique un état nominal et le signe "!" indique un état non nominal pour l'indicateur surveillé correspondant, graphiquement disposé au-dessus du code. On constate que l'item v, qui correspond à l'indication "valise ouverte" est en état d'ouverture, ainsi que l'item B qui correspond à la porte destinée à assurer la sortie de l'opérateur, une fois qu'il aura placé la centrale en mode de surveillance. Enfin, à la ligne dans la zone 25, le message "Noter date et heure de base : " produit par l'ordinateur de la centrale attend la saisie par l'opérateur de ces données sur un registre d'interventions pour permettre de détecter des interventions pirate ainsi qu'il a été décrit plus haut. A la figure 5, on a représenté une vue d'un autre écran d'affichage de la centrale lors de l'exécution d'une étape ultérieure du procédé de surveillance de l'invention. Les mêmes éléments que ceux de la figure 4 ne sont pas décrits davantage. Cet affichage a été copié lors de l'étape de fin de surveillance. Une zone 30 a été ajoutée par l'ordinateur de la centrale de façon à indiquer les états d'ouverture pris au moins une fois par le capteur correspondant à l'accès surveillé au-dessus duquel l'indicateur "x" est placé. On constate ainsi que la porte D a été ouverte (zone 32 marquée : "x"), puis refermée (zone 24 marquée "="). On constate que la porte F a été ouverte (zone 31 marquée ''x'l), mais n'a pas été refermée (zone 33 marquée "!"). Par ailleurs, un message "Alarme Porte F" a été inscrit en zone 36 avec l'indication de la date (en zone 34 et de l'heure (en zone 35) actuelles de déclenchement de l'alarme telles quelles ont été inscrites avec l'identifiant F dans la zone mémoire et transmises par l'émetteur radiofréquences de la centrale. Si plusieurs alarmes ont été activées sur le même identifiant (F ici) ou sur d'autres identifiants, une ligne supplémentaire peut être affichée pour chacun d'eux en éditant le fichier des événements mémorisé dans la mémoire sauvegardée de la centrale. Le moyen d'édition du fichier des événements est réalisé à l'aide d'une interface utilisateur programmée sur la centrale, par exemple en détectant certaines touches pour faire défiler en avant ou en arrière la séquence des enregistrements du fichier événements. Sa réalisation à la portée de l'homme de métier n'est pas plus décrite ici. Lors de l'initialisation, figure 4, l'identificateur "v" de la valise était marqué à l'état ouvert par le signe "!". Il n'est pas rappel lé dans le fichier des événements parce que l'opérateur a refermé la valise avant l'ouverture de ce fichier. Il en résulte qu'à la différence de l'ouverture normale par l'agent de service de la centrale, lors de l'initialisation de la surveillance ou de la reprise en compte de l'avion, l'ouverture intempestive ou non autorisée de la valise par un intrus tentant de saboter le système de surveillance de l'invention sera elle aussi enregistrée dans le fichier événements comme tout autre intrusion, et signalée par voie radiofréquence avant même que l'intrus puisse agir physiquement sur la centrale, par exemple pour tenter de forcer son état et d'empêcher son fonctionnement. Par ailleurs, dans un mode de réalisation de l'invention, les états d'alarme sont repris par un panneau de signalisation fixé au cokpict et visible de l'extérieur de l'aéronef au parking. Un exemple de réalisation est représenté à la figure 6 dans laquelle un panneau d'affichage 40 est constitué par un panneau à cristaux liquides de type LCD connecté par un connecteur informatique standard 50 à un câble de liaison 51 qui le relie à la centrale (non représentée à la figure 6). La centrale peut être disposée à proximité du panneau dans le cokpict de l'aéronef et le panneau d'affichage 40 est fixé derrière la verrière du cockpit par des pinces 48 et 49 de sorte que le panneau 40 soit visible de l'extérieur et puisse être observé à distance à l'aide de jumelles par un rondier ou vigile et de près par l'agent de service de la centrale juste avant la reprise en compte de l'avion lorsqu'il se prépare à pénétrer à l'intérieur. Le panneau 40 comporte deux zones d'affichage 41 et 46. La première zone 41 est de type pictographique sur laquelle le pictogramme 42 de l'aéronef est représenté avec des zones 43, 44, 45, 53 destinées à représenter divers accès à l'intérieur de l'aéronef, et qui sont sous la surveillance de la centrale installée et démarrée dans l'aéronef au parking. Les zones précitées peuvent être matérialisées sous forme de disques prenant des couleurs différentes selon l'état détecté des capteurs d'ouverture des accès surveillés et repris sur le panneau d'affichage 40. Un disque de couleur verte en état de clignotement indique ainsi un accès fermé en cours de surveillance, un disque de couleur rouge en état de clignotement indique un accès ouvert par intrusion. La zone pictographique peut être réalisée par un panneau rétroéclairé sur lequel le pictogramme de l'avion est déposé par des méthodes conventionnelles d'impression, et sur des zones desquelles des diodes électroluminescentes réalisent les zones destinées à représenter des accès sous surveillance de l'avion. Le clignotement des zones de représentation d'accès surveillés est destiné à économiser l'énergie prélevée sur les batteries de la centrale. La fréquence et le rapport cyclique du clignotement sont donc déterminés en fonction d'une routine de gestion de l'énergie électrique disponible, dont la réalisation est à la portée de l'homme de métier. La seconde zone 46 est de type alphanumérique et cette zone reproduit certaines des indications affichées sur l'écran de la centrale et particulièrement les date et heure de base. Pour les avions équipés du dispositif de surveillance de l'invention, deux cas sont possibles - ou bien, l'avion est équipé d'origine des capteurs d'état d'ouverture des accès à surveiller, et ces capteurs sont connectés à un bus interne de l'avion, bus qui est doté d'un connecteur destiné à recevoir la connexion du câble de liaison des la centrale aux capteurs d'état ; - ou bien, l'avion n'est pas équipé d'origine, et poréalablement à la mise en service de la centrale, les capteurs nécessaires doivent être montés et connectés à la centrale. On constate de ce qui précède que les neuf objectifs fixés par les inventeurs sont donc bien atteints par les divers modes de réalisation décrits à titre illustratif seulement, l'invention étant définie dans les revendications annexées. REVENDICATIONS 1. Procédé de surveillance d'un avion en arrêt "stand-by", caractérisé en ce qu'il consiste à - surveiller en permanence l'état d'ouverture ou de fermeture des accès externes de l'avion à compter de la mise en action de la surveillance ; - produire un signal représentatif d'un changement d'état d'au moins un accès quand il se produit - déclencher une procédure d'alerte ; - enregistrer les informations relatives au changement d'état. 2. Procédé selon la revendication précédente caractérisé en ce qu'il consiste à enregistrer les heure et date de base produits par une horloge interne qui séquence le procédé de l'invention au début de la mise en surveillance, l'enregistrement étant effectué dans un registre externe, et à comparer les heure et date mesurés en temps réel à la reprise en compte de l'avion aux heure et date de base enregistrés pour détecter une éventuelle intervention pirate. 3. Procédé selon la revendication précédente, caractérisé en ce qu'il consiste - à rechercher l'existence d'un fichier (dhb.txt) des heure et date de base, - puis, si ce fichier n'existe pas à enregistrer dans ce fichier les heure et date de mise en service produite par l'horloge interne, ou si ce fichier existe, à produire une situation d'alarme d'intervention pirate, - puis à effacer ce fichier (dhb.txt) à chaque fin normale de l'exécution du procédé. 4. Procédé selon la revendication 1, caractérisé en ce que lors de la procédure d'alerte, il consiste à transmettre un message indicatif de la situation d'alerte vers une station de gestion des alarmes. 5. Dispositif de surveillance d'un avion en arrêt "stand-by", caractérisé en ce qu'il comporte - au moins un capteur d'état d'ouverture ou de fermeture des accès externes de l'avion ; - une centrale autonome connectée à l'ensemble des capteurs d'état ; - ladite centrale comportant une mémoire pour enregistrer, puis lire les informations décrivant les caractéristiques d'une intrusion quand celle-ci est détectée par le changement d'état d'au moins un capteur. 6. Dispositif selon la revendication précédente, caractérisé en ce qu'il comporte aussi un émetteur d'un message indiquant les caractéristiques d'une intrusion quand celle-ci est détectée et une station de gestion des alarmes qui reçoit un tel message. 7. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte un dispositif (40) visible de l'extérieur de l'avion, et qui change d'état quand une intrusion est détectée. 8. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte au moins une batterie, et éventuellement au moins une batterie tampon, connectée en parallèle avec la batterie principale. 9. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte un dispositif de surveillance de la tension de sortie de la ou des batteries, qui produit une instruction de mise en charge, mémorisée lors du contrôle de l'état du dispositif de l'invention, et/ou qui commande la mise en action d'un chargeur de batterie connecté sur un réseau de distribution d'énergie électrique. 10. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte un moyen d'autodétection du type d'avion qui indique à la centrale le nombre et les caractéristiques des accès surveillés. 11. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte un moyen de détection de la continuité du câble de connexion entre la centrale et les capteurs d'état. 12. Dispositif selon la revendication 5, caractérisé en ce qu'il comporte un moyen de détection de l'état d'ouverture de la valise dans laquelle est installée la centrale embarquée. 13. Avion caractérisé en ce qu'il est équipé d'un dispositif de surveillance, selon l'une des revendications précédentes. 14. Avion selon la revendication précédente, caractérisé en ce qu'il est muni d'un réseau de capteurs de détection de l'état d'ouverture des accès accessible ensemble en au moins un point déterminé de l'avion, le réseau comportant au moins un capteur d'état d'ouverture et un bus embarqué auquel le capteur est connecté et sur lequel il est adressable.