Brevet FR2766593A1 — publié le 19990129

La présente invention concerne un procédé et un dispositif pour protéger des données d'un système électronique contre une agression ionisante, due notamment à une irradiation nucléaire. Bien que non exclusivement, la presente invention s'applique plus particulièrement à des systèmes électroniques utilisés dans les missiles balistiques, les spationefs ou les aéronefs, tels que des systèmes de calcul de vol et/ou de guidage. Toutefois, le champ d'application de la présente invention peut au moins être etendu à tout système électronique fonctionnant sans intervention humaine, dès lors qu'il est mis en service. On sait que, lorsqu'un système électronique sous tension est soumis à une agression ionisante, notamment suite à une irradiation nucléaire, non susceptible de le détruire, cette agression ionisante perturbe neanmoins son fonctionnement, et si ce système électronique comprend une mémoire vive, les informations contenues dans celle-ci subissent généralement des modifications incontrôlées rendant lesdites informations aberrantes et inutilisables. Aussi, lorsque le système électronique soumis à une telle agression ionisante correspond à un système de calcul de vol et de guidage, il en résulte presque toujours la perte du missile, du spationef ou de l'aéronef, qui est équipé de ce système électronique. Pour tenter de remédier à cet inconvénient, deux solutions différentes sont connues. Une première solution est de prévoir un dispositif specifique de protection. A titre d'exemple, le brevet FR-2 421 493 divulgue un tel dispositif de protection. Ce dispositif comporte une mémoire vive à tores, dans laquelle on enregistre les données stockées dans la mémoire vive principale et ces deux mémoires sont activées alternativement de sorte que, lors d'une agression ionisante, les données contenues dans la mémoire non activée ne sont pas pertubées et peuvent être réutilisées. Bien que ce dispositif exclusivement appliqué à la technologie des mémoires à tores permet, dans son principe, une protection satisfaisante, son utilisation est devenue obsolète, en raison notamment de la technologie utilisée (mémoire à tores) qui est depuis longtemps dépassée et surtout des performances susceptibles d'être obtenues qui sont incompatibles avec les systèmes électroniques à très hautes performances, considérés dans la présente invention. Une seconde solution est d'utiliser des composants électroniques et surtout des mémoires satisfaisant les performances et les capacités requises et de durcir, technologiquement ou par conception, ces composants, ou de les munir d'un blindage, dans le but d'obtenir des systèmes électroniques insensibles aux agressions ionisantes considérées. Toutefois, de telles mesures (de durcissement ou de blindage) sont bien souvent insuffisantes et parfois impossibles à réaliser. De plus, lorsqu'elles sont possibles, les composants obtenus alors présentent un coût extrèmement élevé et sont difficilement disponibles dans le commerce. Par conséquent, aucune de ces deux solutions connues n'est satisfaisante. La présente invention a pour objet de remédier à ces inconvénients. Elle concerne un procédé pour protéger de façon efficace, à coût très réduit et à partir d'éléments standards, contre toute agression ionisante, les données d'un système électronique, présentant les performances requises dans des domaines très exigeants à ce sujet, comme par exemple, le guidage de missiles, d'aéronefs ou de spationefs. A cet effet, selon l'invention, ledit procédé est remarquable en ce que - on prévoit au moins une mémoire de sauvegarde corres pondant à une mémoire morte effaçable et enregistrable - on divise ladite mémoire de sauvegarde en un nombre prédéfini de secteurs', dans chacun desquels peut être enregistré un nombre défini de blocs de données ; et - on enregistre dans ladite mémoire de sauvegarde les données à protéger, en réalisant les opérations suivan tes * on enregistre les données par blocs de données, en remplissant les secteurs de ladite mémoire de sauve garde, les uns après les autres * on sauvegarde chaque bloc de données enregistré, cette étape étant réalisée automatiquement lors de l'enregis trement, en raison du type de mémoire de sauvegarde utilisée et précisée ci-dessous ; et * lorsque ladite mémoire de sauvegarde est entièrement remplie, de façon itérative, on efface toutes les données enregistrées dans un secteur déterminé de ladite mémoire de sauvegarde et on poursuit l'enregistrement de données dans ce secteur déterminé, dont les données antérieures ont été effacées. Ainsi, grâce à l'invention, toutes les données enregistrées et sauvegardées dans ladite mémoire de sauvegarde, ne subissent aucune pertubation et sont efficacement protégées lors d'une agression ionisante. De plus, le procédé conforme à l'invention présente notamment les avantages suivants - aucun traitement spécifique, difficilement réalisable et coûteux, tel qu'un durcissement technologique, n'est nécessaire - la mise en oeuvre dudit procédé nécessite essentiellement l'utilisation d'une mémoire de sauvegarde, du type stan dard EEPROM ("electrically erasable programmable ROM", à savoir une mémoire morte effaçable et programmable (enre gistrable)), qui est peu coûteuse et largement disponible dans le commerce, ce qui permet de réaliser une protection à coût très réduit - l'utilisation d'une telle mémoire de sauvegarde, très performante, permet de satisfaire les exigences élevées concernant les performances des systèmes électroniques considérés ; et - l'inconvénient majeur d'une telle mémoire, à savoir son nombre limite d'effacements possibles et donc une durée d'utilisation très réduite lorsque l'on efface comme il est usuel les données bloc par bloc, est pallié par l'effacement des donnees par secteur (chaque secteur comportant un nombre élevé de blocs de données). De préférence, on efface à chaque fois toutes les données du secteur qui contient les données les plus anciennes. A cet effet, la capacité de ladite mémoire de sauvegarde, ainsi que la taille desdits secteurs, sont choisies de sorte que les données à effacer ne présentent plus d'intérêt pour le processus en cours. De plus, de façon avantageuse, au moins un secteur de ladite mémoire de sauvegarde n'est pas effacé et est réservé à des données invariantes, concernant par exemple le programme à exécuter. Par ailleurs, avantageusement, on enregistre dans chaque bloc de données enregistré un terme caractéristique indiquant que ledit bloc de données est enregistré et on détermine le dernier bloc de données enregistré au moyen d'une recherche dichotomique réalisée à partir des termes caractéristiques des différents blocs de données. Ceci est notamment avantageux lorsque l'on désire transcrire toutes les données sauvegardées lors d'une agression ionisante, dans une autre mémoire, comme on le verra ci-dessous. En outre, pour améliorer la protection, avantageusement, au moins lors d'une agression ionisante, on répète les opérations suivantes - on mesure la valeur d'un paramètre représentatif de l'intensité de ladite agression ionisante - on compare la valeur ainsi mesurée à une valeur prédéter- minée ; et - si ladite valeur mesurée est supérieure à ladite valeur prédéterminée, et aussi longtemps que cela est nécessaire, on bloque l'activation au moins de ladite mémoire de sauvegarde. La présente invention s'applique particulièrement bien à la protection des données d'un système électronique, notamment un système de calcul de vol et/ou de guidage embarqué à bord d'un engin volant, par exemple un missile, un aéronef ou un spationef, comportant une mémoire vive principale recevant et émettant cycliquement des informations. Dans ce cas, de façon avantageuse, on enregistre et on sauvegarde dans ladite mémoire de sauvegarde au moins une partie des informations destinées à être enregistrées dans ladite mémoire principale et, après une agression ionisante, on efface le contenu de ladite mémoire principale et on enregistre dans cette dernière toutes les données enregistrées et sauvegardées dans ladite mémoire de sauvegarde. De preférence, la durée des phases de réception et d'émission d'informations desdites mémoires principales et de sauvegarde, est une fraction, par exemple un dixième, de la durée d'un cycle de fonctionnement dudit système électronique. De plus, selon l'invention, dans le même but de protection maximale, les éléments dudit système électronique non durcis, technologiquement ou par conception de la circuiterie, sont rendus inactifs lors d'agressions ionisantes, pour lesquelles un paramètre représentatif de leur intensité présente une valeur supérieure à une valeur prédéterminée. La présente invention concerne également un dispositif de protection. Selon l'invention, ledit dispositif est remarquable en ce qu'il comporte une mémoire de sauvegarde, pour laquelle on met en oeuvre le procédé précite. Lorsque ledit dispositif est associe à un système électronique comportant une mémoire vive principale, tel que précite, il comporte de plus, de façon avantageuse - un moyen d'alimentation, pour alimenter ladite mémoire de sauvegarde et ladite mémoire principale - un séquenceur d'utilisation pour commander le fonctionne ment de ladite mémoire de sauvegarde et de ladite mémoire principale ; et - un détecteur de l'intensité d'une agression ionisante, pour commander l'alimentation de ladite mémoire principale et de ladite mémoire de sauvegarde. Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée. Sur ces figures, des références identiques désignent des éléments semblables. La figure 1 représente schématiquement un système de commande de vol d'un aéronel ou d'un spationef, auquel est appliquée la présente invention. La figure 2 illustre le mode d'enregistrement et d'effacement réalisé, conformément à l'invention, sur une mémoire de sauvegarde. I Sur la figure 1, on a représenté un système électronique de commande de vol d'un engin volant non représenté, par exemple un missile, un aéronef ou un spationef, auquel est appliquée la présente invention. De façon connue, ledit système électronique comporte un calculateur 1 qui envoie cycliquement des ordres de commande à des gouvernes non représentées de l'engin volant, notamment en fonction de la position de celles-ci, d'informations émises par des équipements non représentés de l'engin volant, comme par exemple une centrale de navigation, et du programme général de la mission contenu dans une mémoire morte 2 reliée audit calculateur 1. A cet effet, ledit calculateur 1 communique avec lesdits équipements et lesdites gouvernes, par l'intermédiaire de conducteurs 3 et 4 d'une ligne bus 3,4. Plus précisément, il reçoit des informations par le conducteur 3 et envoie des ordres et des interrogations par le conducteur 4, par l'intermédiaire d'un registre d'adresses 5 à coïncidence. Pour déterminer lesdits ordres de commande, ledit calculateur 1 utilise les valeurs qui lui sont communiquées d'une pluralité de paramètres, tels que l'altitude, la vitesse et l'accélération dudit engin volant. A cet effet, ces valeurs, ainsi que notamment la position des gouvernes et le temps écoulé, sont enregistrés à chaque cycle de guidage (période entre deux corrections des gouvernes, récurrence d'élaboration des ordres), dans une mémoire vive principale 6, qui correspond à une mémoire de travail et qui est reliée au calculateur 1 et au registre d'adresses 5. On sait que lors d'une agression ionisante, par exemple suite à une irradiation nucléaire, les informations contenues dans ladite mémoire principale 6 subissent généralement des modifications incontrôlées, qui les rendent aberrantes et inutilisables. Par suite, le calculateur 1 ne peut plus réaliser le guidage escompté, ce qui entraîne généralement la perte dudit engin volant. Pour remédier à cet inconvénient, le dispositif conforme à l'invention comporte au moins une mémoire de sauvegarde 7, à savoir une mémoire morte effaçable et programmable, du type "EEPROM" reliée à ladite mémoire principale 6 et audit registre d'adresses 5. Ladite mémoire de sauvegarde 7 nécessite une interface logique (non représentée) avec le calculateur, pour assurer sa gestion. Selon l'invention, on enregistre et on sauvegarde dans ladite mémoire de sauvegarde 7 au moins une partie des informations, notamment celles nécessaires au fonctionnement du système électronique, émises et reçues par ladite mémoire principle 6, tel que précisé ci-dessous. Les informations ainsi sauvegardées par la mémoire de sauvegarde 7 ne sont, de façon connue, pas perturbées par une agression ionisante. Aussi, selon l'invention, après une agression ionisante, on efface les données de la mémoire principale 6, susceptibles d'avoir été pertubées, et on enregistre dans cette dernière à la place les informations non pertubées de ladite mémoire de sauvegarde 7. Ainsi, grâce à l'invention, les données nécessaires au fonctionnement du système électronique sont protégées et conservées et le système électronique peut donc poursuivre le guidage avec ces données, ce qui évite la perte de l'engin mobile. I De plus, cette protection conforme à l'invention peut être réalisée facilement et à coût réduit, puisque ladite mémoire de sauvegarde 7 est disponible largement et à faible coût dans le commerce. Toutefois, une telle mémoire de sauvegarde 7 présente un grand inconvénient. En effet, uniquement un nombre limité d'effacements sont possibles de sorte que la quantité de données pouvant réellement être enregistrées est limitée et par conséquent la durée d'utilisation est réduite. Pour remédier à cet inconvénient, selon l'invention - on divise ladite mémoire de sauvegarde 7 en un nombre prédéfini de secteurs S1 à S4, tel que représenté sur la figure 2, dans chacun desquels peut être enregistré un nombre défini de blocs de données B1 à Bp. Pour des raisons de simplification du dessin et de la description, on a uniquement représenté quatre secteurs S1 à S4. Bien entendu, la mémoire de sauvegarde 7 peut être divisée en beaucoup plus de secteurs, cette division étant réalisée à la conception de ladite mémoire 7 ; et - on enregistre dans ladite mémoire de sauvegarde 7, comme indiqué par une flèche E, les données à protéger, en réalisant les opération suivantes * on enregistre les donnees par blocs de données, en remplissant les secteurs S1 à S4 de ladite mémoire de sauvegarde 7, les uns après les autres. Sur la figure 2, uniquement une partie du secteur S1 (blocs Bl à Bi) est remplie * on sauvegarde chaque bloc de données B1, B2,..., Bi enregistré ; et * lorsque ladite mémoire de sauvegarde 7 est entièrement remplie, de façon itérative, on efface toutes les données enregistrées dans un secteur déterminé, de préférence dans le secteur dont les données sont les plus anciennes, et on poursuit l'enregistrement de données dans ce secteur déterminé, dont les données antérieures ont été effacées. A cet effet, la capacité de ladite mémoire de sauvegarde 7, ainsi que la taille desdits secteurs S1 à 54, sont choisies de sorte que les données à effacer ne presentent plus d'intérêt pour le processus en cours. Ainsi, on augmente la durée d'utilisation de manière à pouvoir remplir complètement la mission considérée. De préférence, au moins un secteur, par exemple le secteur S4, de ladite mémoire de sauvegarde 7 n'est pas effacé et est reservé à des données invariantes, concernant par exemple le programme à exécuter. Ledit dispositif comporte de plus, tel que représenté sur la figure 1 - un moyen d'alimentation 8 qui alimente en électricité notamment le calculateur 1, la mémoire morte 2, le regis tre d'adresses 5 et les mémoires 6 et 7, comme indiqué par une flèche Ai - une horloge 9 durcie par conception des circuits - un séquenceur d'utilisation 10 desdites mémoires 6 et 7, relié à ces dernières, ainsi qu'à l'horloge 9 qui lui transmet des signaux d'horloge - un détecteur 11 qui est susceptible de détecter une agression ionisante, comme précisé ci-dessous - un rupteur 12 commandé par ledit détecteur 11 et relié au moyen d'alimentation 8. Ledit rupteur 12 coupe l'alimen tation fournie par ledit moyen d'alimentation 8 lorsque le détecteur 11 détecte une agression ionisante ; et - un moyen d'alimentation 13 durci par conception et réalisé de préférence avec des composants standards, qui alimente en permanence l'horloge 9, le séquenceur d'utilisation 10, le détecteur 11 et le rupteur 12, comme indiqué par une flèche A2. Selon l'invention, ledit détecteur 11 réalise, de façon continue, les opérations suivantes - il mesure la valeur d'un paramètre représentatif de l'intensité de ladite agression ionisante - il compare la valeur ainsi mesurée à une valeur prédéter minée ; et - si ladite valeur mesurée est supérieure à ladite valeur prédéterminée, il détecte une agression ionisante. Par ailleurs, comme indiqué précédemment, après une agression ionisante, c'est-à-dire lorsque la valeur mesurée est redevenue inférieure à la valeur prédéterminée, on efface le contenu de la mémoire principale 6 et on y stocke les données sauvegardées dans la mémoire de sauvegarde 7. A cet effet, il est nécessaire de retrouver toutes les données qui ont été sauvegardées dans la mémoire 7, c'està-dire tous les blocs de données enregistrés du premier B1 au dernier enregistré Bi. Selon l'invention, pour déterminer, ledit dernier bloc de données enregistré Bi, on ajoute à chaque bloc de données, en début de bloc, un terme caractéristique, par exemple "1", comme on peut le voir pour les blocs B1 à Bi. Les lignes Lj, dans lesquelles aucune donnée n'est enregistrée ne comportent pas au début de la ligne ce terme caratéristique "1", mais un autre terme, de préférence "0". Le dernier bloc enregistré Bi est alors trouvé facilement à l'aide d'une recherche dichotomique à partir desdits termes caractéristiques "1". De façon connue, une telle recherche dichotomique consiste, de façon successive, à chercher le bloc central d'un groupe de blocs (en commençant par l'ensemble des blocs existants), à vérifier la présence du terme caractéristique "1" dans ce bloc central et à utiliser comme groupe de blocs suivant une des deux moitiés du groupe de blocs précédent, en fonction du résultat de cette vérification. Ainsi, par une telle recherche dichotomique, on retrouve l'adresse du dernier bloc en au plus un nombre n d1ité- rations, donné par la formule dans laquelle - Cm est la capacité de la mémoire 7 en bit - Vd est le volume des donnees à sauvegarder en bit ; et - log2 est le logarithme en base 2. Par conséquent, la présente invention permet d'éviter d'avoir à réaliser un durcissement technologique général, très difficile à mettre en oeuvre et extrêmement coûteux. En effet, seuls l'horloge 9, le séquenceur d'utilisation 10 et l'alimentation 13 sont durcis par conception. Ceci entraîne en outre un gain de masse et la possibilité d'utiliser des composants standards pour les autres éléments du système électronique. Bien entendu, toutes les fonctions durcies par conception sont également réalisées avec des circuits standards du commerce, donc sans utiliser des technologies durcies. REVENDICATIONS 1. Procédé pour protéger des données d'un système électronique contre une agression ionisante, caractérisé en ce que - on prévoit au moins une mémoire de sauvegarde (7) correspondant à une mémoire morte effaçable et enre gistrable - on divise ladite mémoire de sauvegarde (7) en un nombre prédéfini de secteurs (S1, S2, S3, S4) dans chacun desquels peut être enregistré un nombre défini de blocs de données (B1 à Bp) ; et - on enregistre dans ladite mémoire de sauvegarde (7) les données à protéger, en réalisant les opérations suivantes * on enregistre les donnees par blocs de données, en remplissant les secteurs (S1, S2, S3, S4) de ladite mémoire de sauvegarde (7), les uns après les au tres * on sauvegarde chaque bloc de données (B1 à Bi) enregistré ; et * lorsque ladite mémoire de sauvegarde (7) est entiè rement remplie, de façon itérative, on efface toutes les données enregistrées dans un secteur déterminé de ladite mémoire de sauvegarde (7) et on poursuit l'enregistrement de données dans ce secteur détermi né, dont les données antérieures ont été effacées. 2. Procédé selon la revendication 1, caractérisé en ce que, lorsque ladite mémoire de sauvegarde (7) est entièrement remplie, on efface toutes les données du secteur qui contient les données les plus anciennes. 3. Procédé selon l'une des revendications 1 ou 2, caractérisé en ce qu'au moins un secteur de ladite mémoire de sauvegarde (7) n'est pas effacé et est réservé à des données invariantes. 4. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'on enregistre dans chaque bloc de données enregistré un terme caractéristique indiquant que ledit bloc de données est enregistré et en ce que l'on détermine le dernier bloc de données enregistré au moyen d'une recherche dichotomique réalisée à partir des termes caractéristiques des differents blocs de données. 5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'au moins lors d'une agression ionisante, on répète les opérations suivantes - on mesure la valeur d'un paramètre représentatif de l'intensité de ladite agression ionisante - on compare la valeur ainsi mesurée à une valeur prédéterminée ; et - si ladite valeur mesurée est supérieure à ladite valeur prédéterminée, et aussi longtemps que cela est nécessaire, on bloque l'activation au moins de ladite mémoire de sauvegarde (7). 6. Procédé selon l'une quelconque des revendications précédentes, pour protéger les données d'un système électronique dont certains éléments (1, 2, 5, 6, 7) ne sont pas durcis, caractérisé en ce que lesdits éléments non durcis (1, 2, 5, 6, 7) sont rendus inactifs lors d'agressions ionisantes, pour lesquelles un paramètre représentatif de leur intensité présente une valeur supérieure à une valeur prédéterminée. 7. Procédé selon l'une quelconque des revendications 1 à 6, pour protéger les données d'un système électronique, notamment un système de calcul de vol et/ou de guidage embarqué à bord d'un engin volant, comportant une mémoire vive principale (6) recevant et émettant cycliquement des informations, caractérisé en ce que l'on enregistre et sauvegarde dans ladite mémoire de sauvegarde (7) au moins une partie des informations destinées à être enregistrées dans ladite mémoire principale (6), et en ce que, après une agression ionisante, on efface le contenu de ladite mémoire principale (6), et on enregistre dans cette dernière toutes les données enregistrées et sauvegardées dans ladite mémoire de sauvegarde (7). 8. Procédé selon la revendication 7, caractérisé en ce que la durée des phases de réception et d'émission d'informations desdites mémoires principale et de sauvegarde (6,7) est une fraction de la durée d'un cycle de fonctionnement dudit système électronique. 9. Dispositif pour proteger des données d'un système électronique contre une agression ionisante, caractérisé en ce qu'il comporte une mémoire de sauvegarde (7), pour laquelle on met en oeuvre le procédé spécifie sous l'une quelconque des revendications 1 à 8. 10. Dispositif selon la revendication 9, associé à un système électronique qui comporte une mémoire vive principale (6) et plus spécialement destiné à la mise en oeuvre du procédé spécifié sous l'une quelconque des revendications 7 à 9, caractérisé en ce qu'il comporte de plus - un moyen d'alimentation (8), pour alimenter ladite mémoire de sauvegarde (7) et ladite mémoire principale (6) - un séquenceur d'utilisation (10) pour commander le fonctionnement de ladite mémoire de sauvegarde (7) et de ladite mémoire principale (6) ; et - un détecteur (11) de l'intensité d'une agression ionisante, pour commander l'alimentation de ladite mémoire principale (6) et de ladite mémoire de sauve garde (7).