Brevet FR2797964A1 — publié le 20010302

Dispositif de contrôle sécurisé de commutation de données L'invention concerne le domaine de la commutation de trames (ou cellules) de données, et plus part icul ièrement les dispo sitifs contrôle pour commutateur numérique multivoies. Le mot "trame" doit être ici entendu dans sa définition la plus large, dans la mesure où il désigne tous les types de messages formés d'une multiplicité de champs ordonnés selon des formats prédéterminés. De même, le mot "donnée" doit être entendu dans sa définition la plus large, dans la mesure où il désigne toutes les informations contenues dans un message, y compris les informations concernant l'émetteur message (ou source), le (ou les) destinataire(s) de ce message, ou encore type de ce message. De tels commutateurs comprennent classiquement circuits de liaison physique, généralement appelés "couche physique", liés à un milieu de transmission qui définit ports de communication source (ou d'entrée) et/ou des ports de communication destinataire (ou de sortie) auxquels sont raccordés des matériels informatiques (ou équipements). Ils comprennent également une unité de traitement, généralement appelée "couche logique", et une interface de connexion entre l'unité traitement et les circuits de liaison, pour chacun des ports sélectivement. L'unité de traitement assure la commutation numérique de trames de données multichamps entre les différents ports, c'est-à-dire entre un port source et au moins un port destinataire. Ces commutateurs font donc partie d'une installation de communication dans laquelle des liens physiques indépendants permettent un partage des données (ou informations selon un mode dit "segmenté" et non pas "diffusé". Pour assurer le bon fonctionnement d'une telle installation, les données reçues par un (ou des) équipement( destina- taire(s) (que l'on assimilera dans ce qui suit au port de communication destinataire ou de sortie auquel il est "ratta- chél') doivent être sensiblement identiques celles émises par l'équipement source (que l'on assimilera dans ce qui suit au port de communication source ou d'entrée auquel il est "rattaché"). , du fait de la complexité des différentes liaisons, de la nature même des milieux de transmission, et des conditions dans lesquelles s'effectuent les échanges de trames, il arrive fréquemment que certaines trames soient altérées pendant leur transfert de l'équipement source vers l'équipe ment destinataire. Ceci est plus particulièrement le cas des commutateurs du type dit "COTS" qui sont très largement utilisés dans l'informatique et les télécommunications, du fait, notamment, de leur faible coût et du format quasiment universel des trames. Cet inconvénient rend les commutateurs du type précité difficilement utilisables, voire même inutilisables, dans certains domaines d'application où la sécurisation des données revêt une grande importance. C'est par exemple le cas en avionique pour ce qui concerne la gestion et la commande du vol. plus, il est important que les situations de panne et/ou les écarts de fonctionnement soient traités. La présente invention a donc pour but de procurer un disposi tif de contrôle pour commutateur numérique multivoies destiné à améliorer la situation présentée ci-avant, notamment en matière de sécurité. Elle propose à cet effet un dispositif du type de celui décrit en introduction, dans lequel on prévoit un module sonde couplé sélectivement à l'interface de connexion, et un module de surveillance capable d'analyser le contenu d'une partie au moins de toute trame (ou cellule) de données vue par le module sonde, et de générer un signal d'alerte lorsque la partie analysée ne remplit pas une condition choisie. Il est ainsi possible d'accéder, de façon non intrusive et sélective, et sur chacun des ports sous surveillance (pas forcément tous), à tout ou partie de chaque trame en cours d'aiguillage dans-le commutateur, de manière à contrôler la cohérence du contenu de cette trame. Dans un mode de réalisation actuellement préféré, le module de surveillance est conçu manière à déclencher à l'aide du signal d'alerte le rejet par l'unité de traitement de la trame vue par le module sonde. De la sorte, toute trame présentant une incohérence, quel qu'en soit le type, est rejetée, en d'autres termes elle n'est pas présentée à la sortie du commutateur. Dans une variante de ce mode de réalisation, le module de surveillance est conçu de manière à déclencher lui même, avec le signal d'alerte, le rej de la trame vue par le module sonde. Cela permet de gagner du temps. Dans une autre variante, le module de surveillance est conçu de manière à comptabiliser les signaux d'alerte associés à chaque port, et à déclencher le rejet, soit par lui-même, soit par l'unité de traitement, de la trame vue par le module sonde, lorsque le nombre de signaux d'alerte comptabilisés pour un port est supérieur un seuil. En complément, le module de surveillance peut être agencé de manière à comptabiliser chaque rejet associé à chaque port sous surveillance, et à déclencher une invalidation de la liaison entre un port et les circuits de liaison lorsque le nombre de rejets comptabilisés pour ce port est supérieur à un seuil. Bien entendu, une telle invalidation est de préférence momentanée, de sorte qu'une fois le problème résolu sur le port défaillant, celui-ci puisse être de nouveau utilisé en émission et/ou en réception (ou validé). L'invention s'applique tout particulièrement, bien que de façon non limitative, aux commutateurs munis d'interfaces adaptées formats standards de trames multichamps choisis parmi ETHERNET, ATM et HIGH SPEED - LINK. Par ailleurs, l'invention concerne également les commutateurs équipés dispositif de contrôle du type décrit ci-avant ainsi que installations de communication qui comprennent un (ou plusieurs) commutateur(s) équipé(s) d'un tel disposi tif. Elle s applique tout particulièrement aux installations de communication utilisées en avionique pour la gestion et la commande du vol. D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée qui va suivre dessins annexés, sur lesquels : - la figure illustre de façon schématique, et simplifiée, un commutateur équipé d'un dispositif de contrôle selon l'invention; - la figure 2 détaille schématiquement un dispositif contrôle selon l'invention; - la figure 3 est un schéma illustrant une trame au format ETHERNET, - la f igure 4 est un diagramme bloc illustrant un mode traitement trame au format ETHERNET; et - la figure illustre de façon schématique une installation munie de deux commutateurs équipés d'un dispositif contrôle selon l'invention. Les dessins annexés comportent des éléments de caractère certain qu'il est difficile de définir complètement par texte. En conséquence, ils pourront contribuer à la défini tion de l'invention. L'invention concerne un dispositif de contrôle de messages, ou trames, ou encore cellules, en cours d'aiguillage dans un commutateur numérique multivoies. Un tel commutateur est destiné à recevoir des messages émis des équipements (ou plus généralement des matériels informatiques) selon un format prédéterminé en vue de aiguiller vers un ou plusieurs autres équipements. L'équipe ment qui émet un message est appelé équipement source, tandis l'équipement qui est le destinataire d'un message est appelé équipement destinataire. Bien entendu un même équipe ment peut être tour à tour, ou simultanément, source destinataire. Comme cela est illustré sur les figures 1 et 2, chaque equipement E-i (ici i=l à 4) est relié au commutateur par biais d'un milieu de transmission 1, qui peut être un câble ou une fibre optique, ou encore l'éther lorsque les messages sont transmis par voie d'ondes. Ce milieu de transmission peut être mono ou bi-directionnel. L'extrémité du milieu de transmission 1, qui est opposée 'équipement E-i, est reliée à des circuits de liaison physique 2, qui forment une interface physique ou couche physique. L'endroit où s'effectue la liaison entre la couche physique 2 et les différents milieux de transmission classiquement appelé port 3. Dans le commutateur, à chaque port 3 est associée une identification de port qui pourra etre utilisée soit en tant qu'adresse locale de port source (ou d'entrée), soit en tant qu'adresse locale de port destinataire (ou de sortie) selon que l'équipement auquel est raccordé ce port émet le message (ou trame de données) ou en le destinataire. la couche physique 2 (ou circuits de liaison physique), les ports 3 sont installés en série (voir figure 1). Dans un commutateur classique (c'est-à-dire de la technique antérieure), l'aiguillage d'une trame qui arrive au niveau d'un port 3 de la couche physique 2 est effectué par une unité traitement 4, qui est appelée couche logique, ou encore interface logique de commutation. La couche logique 4 est liée à la couche physique 2 par l'intermédiaire d'une interface de connexion 5. En f ait, comme cela est illustré sur la f igure 2, dans les commutateurs de type ETHERNET ou ATM, la couche physique 2 comporte une multiplicité d'émetteurs/récepteurs 7-i compre nant entrée analogique 8-i, une sortie analogique 9-i, une sortie numérique 10-i et une entrée numérique 11-i. Dans l'exemple illustré sur la figure 2, le commutateur étant de type "4x4", la variable i prend les valeurs comprises entre 1 et 4. Par ailleurs, dans ces commutateurs, l'unité de traitement 4 (ou couche logique) est composée d'une multiplicité d'élé- ments de commutation 12-i associés respectivement à un émetteur/récepteur 7-i. L'interface de connexion 5 peut donc être subdivisée en parties bi-directionnelles (5-i) permet tant chacune de relier la sortie numérique 10-i d'un émet- teur/récepteur 7-i à l'entrée numérique 13-i d'un élément de commutation 12-i, et la sortie numérique 14-i dudit élément de commutation 12-i à l'entrée numérique 11-i dudit émet- teur/récepteur 7-i. Les différents éléments de commutation 12-i de la couche logique 4 sont interconnectés les uns aux autres, de sorte qu'à réception d'une trame sur l'entrée numérique 13-i de l'un d'entre eux, cette trame puisse être transmise un (ou plusieurs) autre(s) de ces éléments de commutation 12-j, associé(s) à (ou aux) 1 émetteur /récepteur 7-j qui alimen- te(nt) le (ou les) port(s) 3-j désigné(s) par l'intermédiaire du champ d'adresse destinataire contenu dans la trame à aiguiller. Les circuits de liaison physique 2 sont appelés couche physique 2 du fait qu'ils reçoivent des ports 3-i des informations analogiques et transmettent à l'unité de traitement 4 des informations numériques, via 1 interface de connexion 5. L'unité de traitement 4 est appelée couche logique du fait qu'elle reçoit, traite et transmet des informations numériques. Les trames qui sont échangées dans un tel commutateur présentent un format particulier dit 11multichamps", du type de celui illustré sur la figure 3 (format ETHERNET). Une telle trame multichamps comporte, au moins, un champ de début de trame, un champ d'adresse destinataire, un champ d'adresse source et un champ de données. Dans une installa tion de communication, ces différents champs sont toujours ordonnés la même manière. Un certain nombre de formats standards utilisent des trames multichamps du type de celle décrite ci-avant, avec ou sans champ(s) complémentaire (s). On pourra citer, par exemple, les formats standards de type ETHERNET, ATM et HIGH SPEED-LINK (HS-LINK). De nombreux fabricants commercialisent des commutateurs capables fonctionner selon les formats précités. On peut citer, par exemple, les commutateurs ETHERNET des sociétés CISCO, 3COM, INTEL, IBM, HEWLETT PACKARD, D-LINK... Ces commutateurs étant très répandus sur le marché, il est inutile de les décrire ici. Ceux qui appartiennent à la catégorie dite "COTS" (pour "Commercial Of The Shelves", c'est à dire "composant du commerce largement utilisé") présentent l'avantage de traiter des trames dont le format est universellement utilisé, contrairement à d'autres formats spécifiques tels que celui de la norme ARINC ou 629). A titre d'exemple, on pourra utiliser une interface de connexion ETHERNET de type "medium independent interface" (MII) ou de ses évolutions telles que, par exemple, RMII (Reduce MII), ou une interface de connexion ATM de type UTOPIA. Quel que soit le format de l'installation de communication, une trame arrive par un port source 3-i, est transférée à 1 ' émetteur / récepteur 7-i de la couche physique 2, emprunte la partie 5-i de l'interface de connexion 5 qui est raccordée à l'émetteur/récepteur 7-i pour atteindre l'élément de commuta tion 12-i de la couche logique 4. Là, son champ d'adresse destinataire est analysé de manière à déterminer le port destinataire 3-j correspondant. La trame est alors communi quée à l'élément de commutation 12-j, puis à l'émetteur/ré- cepteur 7-j via la partie 5-j de l'interface de connexion, en vue de son émission par le port 3-j. Comme cela a été indiqué dans l'introduction, il arrive fréquemment que des trames aiguiller soient altérées avant d'arriver au commutateu:#, ou bien que le commutateur altère des trames reçues, pendant l'aiguillage. L'invention ayant pour but d'améliorer la situation, elle propose à cet effet un dispositif de contrôle de la cohérence des trames de données qui sont aiguillées dans un commutateur numérique multivoies entre un port source et un ou plusieurs ports destinataires. Un tel dispositif comprend tout d'abord un module sonde 6 capable d'observer à la volée sur l'interface de connexion 5 les trames de données qui transitent entre la couche physique 2 et la couche logique 4. Dans ce qui suit, on qualifiera de "montante" une transmission de la couche physique 2 vers la couche logique 4, et de "descendante" une transmission de la couche logique 4 vers la couche physique 2. La demanderesse s'est en effet aperçue qu'il était particu lièrement avantageux d'observer les trames montantes et/ou descendantes sur les différentes parties 5-i de l'interface de connexion. Cela résulte du fait que les données qui circu lent sur cette interface 5 sont numériques et totalement représentatives, car identiques, des informations des trames à commuter. Le module sonde 6 de l'invention observe chaque partie 5-i de l'interface de connexion qui relie un élément de commutation 12-i à un émetteur/ récepteur 7-i. Dans l'exemple illustré cette observation s'effectue sur chaque partie montante 5-im et sur chaque partie descendante 5-iD' Bien entendu, on pourrait effectuer des observations seulement sur une ou plusieurs parties montantes ou bien seulement sur une ou plusieurs parties descendantes, ou bien encore sur certaines parties montantes et certaines parties descendantes. il est ainsi possible d'observer sélectivement les trames. Dans l'exemple de la figure 2, chaque partie montante 5-im de l'interface de connexion est observée indépendamment des autres parties montantes par un sous-module sonde 6-imp et chaque partie descendante 5-iD de l'interface de connexion est observée indépendamment des autres parties descendantes par un sous-module sonde 6-iD' Cela assure l'indépendance des observations effectuées sur la partie montante de celles effectuées sur la partie descendante. Chaque sous-module sonde pourra être réalisé sous la forme d'une liaison. Chaque sous-module sonde 6-im alimente un sous-module de surveillance montant 15-im, et chaque sous-module sonde 6_4 alimente un sous-module de surveillance descendant 15-iD' Ces différents sous-modules de surveillance 15-i forment ensemble un module de surveillance 15. Cependant, il est préférable, mais non indispensable, que les sous-modules sonde 15-im et 15-iD constituent physiquement un même sous- module 15-i, dans la mesure où ils gèrent un même port 3-i. Chaque sous-module de surveillance montant 15-im et descendant 15-iD est conçu pour analyser au moins une partie d'un champ de la trame observée qui circule sur la partie de l'interface de connexion 5 concernée. En conséquence, chaque sous-module de surveillance 15-i, montant ou descendant, est capable de reconnaitre parmi les champs qui lui sont transmis par le sous-module sonde 6-i associé, le champ ou les champs qu'il doit analyser. De préférence, chaque sous-module de surveil lance 15-i est configuré (ou programmé) de manière à analyser successivement, c'est-à-dire au fur et à mesure de leur transfert d'un émetteur /récepteur 7-i vers un élément de commutation 12-i associé, ou réciproquement, plusieurs champs d'une même trame, et notamment le champ d'adresse destinatai re, le champ d'adresse source et le champ de type de trame. Les différents sous-modules de surveillance 15-i, quils soient montants ou descendants, peuvent présenter des configurations différentes selon le type d'équipement dont ils surveillent la commutation de façon sélective. De la sorte, on constitue des modules de surveillance locaux adaptés aux besoins de chaque port 3-i. La gestion de la configuration de chaque sous-module 15-i est effectuée, de préférence, par une partie du dispositif selon l'invention couplée au module de surveillance 15. Cette partie, qui est appelée unité de contrôle 16, reçoit et transmet des "informations" numériques aux différents sous- modules de surveillance i via une liaison 17M (montante) ou 17D (descendante). Comme on le verra plus loin, l'unité de contrôle 16 assure de préférence d'autres tâches que la gestion de la configuration des sous-modules. Pour décrire le mécanisme de surveillance effectué par un dispositif de contrôle selon l'invention, on se réfère maintenant aux figures 3 4. Sur la figure 3 se trouve illustrée une trame au format ETHERNET. Comme indiqué précédemment, elle comprend un champ de début de trame, puis un champ d'adresse destinataire (également appelée adresse MAC destinataire), puis un champ d'adresse source (également appelée adresse MAC source), puis un champ de type de trame. Elle comporte ensuite un champ de données et un champ CRC (acronyme anglais de I'Cyclic Redun- dancy Check). Les champs d'une trame multichamps sont transmis les uns après les autres, dans l'ordre indiqué ci-avant, lorsque la trame est transférée de la couche physique 2 vers la couche logique 4, et réciproquement. est par conséquent possible d'analyser le contenu d'au moins une partie d'un ou plusieurs champs qui se suivent pour vérifier la cohérence de la trame (ou cellule). Il est clair que les trames qui présentent des formats différents de celui d'ETHERNET n'auront pas exactement la même configuration que celle illustrée sur la figure 3. Par exemple, dans le format ATM, après le début de trame, le premier champ est un champ appelé "Virtual Path Identifier", le second champ est un champ appelé "Virtual Channel Identi fier", le troisième champ est un champ appelé "Payload Type". On trouve ensuite un champ de priorité et de contrôle, et un champ de données. D'une façon plus générale, une trame peut comporter au moins un ou plusieurs champs dits physiques, qui désignent un ou plusieurs "canaux" physiques tels qu'un port source ou un port destinataire, un ou plusieurs champs dits logiques, qui désignent un ou plusieurs "canaux" logiques tels qu'un flux, et un champ de données. Comme cela est illustré sur la figure 4, dans le cas d'une trame au format ETHERNET en cours de transfert de l'émet- teur/récepteur 7-1 vers l'élément de commutation associé 12 1, la partie montante 6-im du module sonde, qui est reliée à la partie montante 5 -lm de 1 ' interface de connexion, transmet, dès qu'elle l'observe, le champ de début de trame au sous- module de surveillance 15-1m. Ce sous-module est ainsi averti qu'il va devoir analyser une trame de données montante. Cela constitue l'étape 100 sur laquelle on reviendra plus loin dans le cadre d'une analyse dynamique des trames. Dès que le second champ d'adresse destinataire est observé (et donc reconstitué) par la partie montante 6-lm du module sonde, elle est transmise au sous-module de surveillance lm en vue de son analyse dans une étape 110. Cette analyse a pour but de vérifier si l'adresse du destina taire de la trame correspond à l'un des ports 3-i gérés le commutateur. A cet effet, le module de surveillance 15 comporte une mémoire 18 dans laquelle se trouve stockée une table de correspondance entre chaque port 3-i du commutateur et les adresses destinataire autorisées pour ce port. Par une confrontation entre les informations contenues dans le champ et celles contenues dans la table de correspondance, on peut vérifier, instantanément, la cohérence trame-port, c'est à dire donner ou refuser l'autorisation de communiquer avec le port designé par l'adresse destinataire. La table de correspondance peut être commune à tous les sous- modules de surveillance 15-i, mais elle peut également, comme cela illustré sur la figure 2, être subdivisée en plusieurs (i) parties associées respectivement aux différents ports. Dans ce cas, chaque sous-module de surveillance 15-i comporte une mémoire modifiable 18-i, telle qu'une mémoire vive, un ensemble (ou banque) de registres associés chacun à un port et à contenu individuellement configurable, ou, mieux encore, une mémoire de type flash, qui comporte la liste des trames (messages, cellules) autorisées pour chacun des ports 3-j. L'expression "liste de trames" doit être comprise dans un sens large. Elle inclue pour chaque port, tous les ports avec lesquels il peut échanger des trames, les différents types de trames autorisés, les longueurs de trame selon le type de flux, etc. De préférence la mémoire modifiable 18 peut être accédée en lecture et/ou en écriture de manière à permettre la surveil lance de son contenu. Si l'adresse est incohérente, le sous-module de surveillance 15-lm transmet, dans ce mode de réalisation, à l'unité de contrôle 16, via la liaison 17m, un signal d'alerte indiquant une incohérence sur l'adresse du port destinataire. Deux modes de réalisation peuvent être envisagés à ce stade. Dans un premier mode, à réception du signal d'alerte l'unité de contrôle 16 va adresser à l'élément de commutation 12-1 un signal lui ordonnant de ne pas transférerla trame en cours de transfert. Cela entraine donc un rejet de la trame. Dans un second mode, chaque sous-module de surveillance 15-im agit directement sur l'élément de commutation 12-i qui lui est associé, sans qu'il soit nécessaire de passer par l'unité de contrôle 16. Il comprend pour ce faire une sortie 19M qui est reliée à l'élément de commutation 12-i pour lui délivrer le signal d'alerte destiné à déclencher le rejet de la trame en cours de transfert. Néanmoins, l'unité de contrôle 16 est de préférence avertie, par chaque sous-module de surveillance 15-i ou par chaque élément de commutation 12-i, de chaque rejet associé à chaque port, de manière à comptabiliser pour chaque port, qu'il soit source ou destinataire, le nombre de rejets de trame dont il a fait l'objet. La comptabilisation des rejets (ou des signaux d'alerte) est applicable aux deux modes précités. L'unité de contrôle 16 peut ainsi, lorsque le nombre de rejets associés à un port 3- i dépasse un seuil choisi par exemple égal à dix, décider d'invalider ce port 3-i. A cet effet, l'unité de contrôle 16 est reliée par une liaison 20 à la couche physique 2, et de préférence à chacun de ses émetteurs/récepteurs 7-i. Il est bien évident, que seuils d'invalidation différents peuvent être envisagés pour des ports différents, selon les besoins, et notamment selon le degré de sécurité requis en chaque port. On peut envisager que l'unité de contrôle 16 ait la possibi lité de forcer l'aiguillage d'une trame, alors même qu'un sous-module de surveillance 15-i a déclenché le rejet de la trame dans l'élément de commutation associé 12-i. Pour le traitement des trames descendantes, on prévoit, au lieu de la liaison 17M, une liaison 17D entre chaque sous- module de surveillance 15-iD et l'unité de contrôle 16, pour transmettre le signal d'alerte destiné à déclencher le rejet d'une trame descendante en cours de transfert. Bien entendu, comme indiqué précédemment, chaque sous-module de surveil lance 15-iD pourrait agir directement sur l'émetteur / récepteur 7-i qui lui est associé, sans qu'il soit nécessaire de passer par l'unité de contrôle 16. Il comprend dans ce cas une sortie 19D qui est reliée à 1 émetteur / récepteur 7-i pour lui délivrer le signal d'alerte destiné à déclencher le rejet de la trame en cours de transfert. Néanmoins, lorsqu'une unité de contrôle 16 est prévue, celle-ci est avertie de préféren ce, par chaque sous-module de surveillance 15-i (par exemple via la liaison 17) ou par chaque émetteur/récepteur 7-i (par exemple par la liaison 20 qui est dans ce cas bidirectionnel le), de chaque rejet associé à chaque port, de manière à comptabiliser pour chaque port, qu'il soit source ou destina taire, le nombre de rejets de trame dont il a fait l'objet. Dans une variante, on peut envisager un mode de rejet de trame fonctionnant sur une comptabilisation des signaux d'alerte. Dans ce cas, l'unité de contrôle 16 comptabilise pour chaque port 3-i les signaux d'alerte (ou signaux d'incohérence) qui sont fournis par les sous-modules de surveillance 15-im et 15-iD, de sorte que seule soit rejetée une trame incohérente arrivant après N précédentes trames incohérentes. N désigne ici un nombre seuil qui peut être égal, par exemple, à quatre ou cinq. Bien entendu, chaque sous-module de surveillance 15-i pourrait effectuer cette opération de comptabilisation de signaux d'alerte pour son port 3-i, en lieu et place de l'unité de contrôle 16. Si le résultat de l'analyse effectuée à l'étape 110 n'indique pas d'incohérence, alors on passe à l'étape 120 dans laquelle le sous-module de surveillance 15-1m procède à l'analyse du champ d'adresse du port source qui vient d'être observé (et donc reconstitué) par le module sonde 6. sur la partie montante 5M de l'interface de connexion. Comme pour le champ précédent, il s'agit d'effectuer une comparaison entre l'adresse du port source contenue dans la trame en cours de transfert et les adresses des ports qui sont contenues dans la table de correspondance 18 (ou 18 1). Comme précédemment, si une incohérence est détectée, un signal d'alerte est émis par le sous-module de surveillance 15-lm en direction de l'unité de contrôle 16 et/ou de l'élément de commutation 12-1 (par la liaison 19m), selon le mode de réalisation concerné. Cela aura pour effet, soit de déclencher le rejet de la trame en cours de transfert, soit d'incrémenter d'une unité la valeur de la variable de comptabilisation des signaux d'alerte (dans le cas d une analyse statistique). En l'absence de détection d'incohérence, on passe à une étape 130 dans laquelle le sous-module de surveillance 15-1m procède à l'analyse du champ de type de trames qui lui est fourni par le module sonde 6M après son observation sur la partie montan te de l'interface de connexion. Cette analyse du type de trame consiste à vérifier si le type contenu dans le champ observé fait partie d'une liste de types qui se trouve mémorisée, par exemple dans la mémoire 18 (ou 8-i). Bien entendu, dans une variante, au lieu d'une liste de types de trames, on peut ne prévoir qu'un unique type associé à chaque port. Lorsque le type de trames ne correspond pas à celui ou ceux stockés, un signal d'alerte peut être émis par le sous-module de surveillance 15-1m en vue, soit d'un rejet immédiat, soit d'un rejet éventuel (dans le cas statistique). En 1 absence d'incohérence, le sous-module de surveillance 15-im va procéder à une analyse que l'on pourrait qualifier de "dynamique,, par opposition aux analyses effectuées aux étapes 100 à 130, lesquelles sont plutôt de type "statique". une trame de données n'est généralement pas isolée à l'inté rieur d'une installation de communication. Elle appartient à un flux de trames qui peut être spécifique ou non spécifique. A titre d'exemple, dans le domaine de l'avionique, on définit au moins trois niveaux de flux différents associés respecti vement à des inf ormations très haut niveau de priorité, telles que des informations périodiques (critiques), à haut niveau de priorité, telles que des informations apériodiques urgentes, et à f aible niveau de priorité, telles que les informations apériodiques non urgentes. On peut ainsi autoriser à l'aide de l'unité de contrôle 16, dans chaque sous-module de surveillance 15-im et 15-iD' un ou plusieurs flux différents associés à des types de trames différents. t Dans une étape 140, on effectue une ou plusieurs mesures portant sur le flux associé au type de trame détecté lors de l'étape 130. Il pourra s'agir, par exemple, d'une mesure du taux d'utilisation global par unité de temps, ou par cycles prédéfinis, du port considéré (ici le port 3-1). Il pourra s'agir d'une mesure pour chaque type de flux identifié du nombre de trames associé par unité de temps ou par cycles prédéfinis. Il pourra encore s'agir d'une mesure pour chaque type de flux de la longueur de la trame par flux. Il pourra également s'agir d'une mesure de distance temporelle entre trames. Certaines de ces analyses dynamiques de trames, notamment les deux dernières, utilisent le champ de début de trame pour leurs mesures, lequel est déterminé à l'étape 100. La mesure de la distance temporelle séparant deux débuts de trames consécutives pourra s'appuyer sur l'acquisition, lors de chaque réception d'un début de trame, de l'heure courante gérée par chaque sous-module de surveillance 15-im et 15-iD et la comparaison avec l'heure attendue pour une trame de même type. L'analyse effectuée lors de cette étape 140 consiste donc, dans le sens montant, à surveiller la capacité de l'équipe ment source (ou éventuellement d'un autre commutateur amont) à générer des trames compatibles---(ou-cohérentes), en termes de quantité d'informations et de qualité flux, avec le port auquel il est rattaché. Dans le sens descendant, l'analyse consiste à surveiller la capacité de l'unité de traitement 4 (ou couche logique) à restituer correctement des flux d'informations sur un ou plusieurs ports destinataires. De façon plus générale, l'ensemble des analyses effectuées dans le sens montant, sur chaque port, consiste en un contrôle d'admission, tandis que lensemble des analyses effectuées dans le sens descendant, toujours chaque port, consiste en un contrôle de restitution. Bien que les champs soient transmis au fur et à mesure de leur observation, c'est-à-dire pendant leur transfert d'une couche vers une autre, il est possible d'envisager une analyse champs en parallèle, notamment lorsque l'une des analyses requiert un temps d'analyse plus long que celui nécessaire à l'analyse du champ suivant. Par ailleurs, on pourrait également envisager de n'analyser qu'une partie d'un champ, et non pas le champ complet. Tel pourrait être le cas, notamment, d'une analyse du champ de données. On peut en effet envisager de placer dans ce champ de données une information spécifique qui, lorsqu'elle possède valeur différente d'une (ou plusieurs) valeur(s) prédéterminée (s) , ou bien lorsqu'elle n'est pas présente, provoque la génération d'un signal d'alerte. Néanmoins, l'analyse d'une partie du champ de données présente quelques risques, dans la mesure l'analyse doit être terminée avant que la trame en cours de transfert n'ait été intégralement transmise soit à la couche logique lors qu'il s'agit d'une trame montante, soit à la couche physique lorsqu'il s'agit d'une trame descendante. Dans ce qui précède, on a décrit une analyse multiple. mais il est clair que l'on pourrait effectuer une unique analyse, soit statique, c'est-à-dire portant sur le champ adresse du port destinataire ou le champ adresse du port source, ou sur le champ du type de trame, soit une analyse purement dynami que, c'est-à-dire portant sur le flux associé au type de la trame. En résumé, le mécanisme de surveillance mis en oeuvre par le dispositif de contrôle selon l'invention comporte quatre étapes successives, une première étape d'observation, une seconde étape de détection, une troisième étape d'action, et une quatrième étape de confinement des erreurs. Comme cela est illustré sur la figure 5, les trames de données qui arrivent sur les ports d'un premier commutateur ne sont pas obligatoirement issues d'un équipement tel qu'un calculateur ou un capteur. En effet, elles peuvent provenir de tout type de matériel informatique travaillant selon le format du commutateur équipé du dispositif selon l'invention, et notamment d'un port destinataire d'un autre commutateur. De même, le port destinataire d'un premier commutateur peut être relié par un milieu de transmission au port source d'un second commutateur. Il est important de noter que l'un des deux commutateurs peut ne pas être équipé d'un dispositif selon l'invention. Le dispositif selon l'invention comprend, de préférence, une partie purement matérielle ("hardware"), constituée notamment du module sonde et de la mémoire de stockage des informations spécifiques aux analyses (telles que la liste des adresses autorisées, la liste des types autorisés, la liste des gabarits ou flux autorisés), et d'une partie purement logicielle ("software"), de préférence reprogrammable, pour le reste. Le dispositif de contrôle selon l'invention pourra donc être fabriqué sous la forme, par exemple, d'un ASIC couplé à une mémoire modifiable (vive ou flash), ou d'un ASIC avec une banque de registres; un ASIC pouvant assurer la surveillance d'un ou plusieurs ports. Grâce l'invention, il est possible d'effectuer une surveil- lance/détection en temps réel qui permet d'agir sur la trame en cours (principe de "fault containmentl'). De plus, la performance du commutateur ne-se trouve pas dégradée car la surveillance/détection s'effectue en parallèle. Enfin, cette invention permet d'obtenir des taux d'erreur non détectée très faibles car il existe une décorrélation totale de l'implémentation du principe (mécanisme de surveillance) relativement à l'objet de la surveillance, c'est à dire entre le transfert et la commutation des données; en d'autres termes, il n'y a pas de lien entre la surveillance et le transfert. L'invention ne se limite pas aux modes de réalisation décrits précédemment, mais elle embrasse toutes variantes que pourra développer l'homme de l'art dans le cadre des revendi cations ci-après. Ainsi, on a décrit des exemples de réalisation dans lesquels chaque port du commutateur est surveillé par le dispositif selon l'invention. Cependant, on peut envisager que seulement certains des ports soient sous-surveillance, par exemple uniquement les ports d'entrée (source) ou uniquement les ports de sortie (destinataire), ou toute combinaison port d'entrée/port de sortie. L'invention embrasse par ailleurs les commutateurs équipés d'un dispositif selon l'invention, ainsi les installa tions de communication équipées d'un ou plusieurs commuta teurs munis d'un dispositif selon l'invention. Par ailleurs, l'invention a été décrite en référence à l'analyse de trames au format ETHERNET. Mais, l'invention concerne d'autres types de trames, tels que ceux de type ATM, ou ceux comprenant plus généralement des champs de canaux physique(s) et/ou logique(s). Dans ces variantes, le module sera donc agencé pour voir un ou plusieurs de leurs champs respectifs et le module de surveillance effectuera sa comparaison de préférence sur le champ Virtual Path Identi- f ier, puis sur le champ Virtual Channel Identifier, et sur le champ de canal logique, puis sur le champ de canal physique, respectivement. Revendications 1. Dispositif de contrôle pour commutateur numérique multivoies, ledit commutateur comprenant une interface (5) de connexion entre des circuits (2,7) de liaison physique avec un milieu de transmission (1), définissant des ports source et/ou destinataire (3), et une unité de traitement (4,12) assurant la commutation sélective de trames de données multi- champs entre ces différents ports, caractérisé en ce qu'il comprend un module sonde (6) couplé sélectivement à ladite interface de connexion (5), et un module de surveillance (15) capable d'analyser le contenu d'une partie au moins des trames de données vues par le module sonde (6), et de générer un signal d'alerte lorsque la partie analysée ne remplit pas une condition choisie. 2. Dispositif selon la revendication 1, caractérisé en ce que ledit module de surveillance (15) est agencé pour analyser le contenu d'au moins une partie d'au moins un champ de chaque trame vue par le module sonde (6). 3. Dispositif selon la revendication 2, caractérisé en ce que ledit module de surveillance (15) est agencé pour analyser le contenu d'au moins une partie de chaque champ de chaque trame vue par le module sonde (6). 4. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que ledit module sonde (6) est agencé pour voir des trames comportant au moins un champ de canal logique, un champ de canal physique et un champ de données. 5. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que ledit module sonde (6) est agencé pour voir des trames comportant au moins un champ de début de trame, un champ d'adresse de port destinataire, un champ d'adresse de port source et un champ de données. 6. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que ledit module sonde (6) est agencé pour voir des trames comportant au moins un champ appelé "Virtual Path Identifier", un champ appelé "Virtual Channel Identi fier", un champ appelé "Payload Type,, et un champ de données. 7. Dispositif selon l'une des revendications 4 à 6, caractérisé en ce que ledit module de surveillance (15) .comporte une table de correspondance spécifiant pour chaque port (3) relié aux circuits de liaison (2,7) une liste de trames autorisées comportant au moins les ports (3) avec lesquels il peut échanger lesdites trames, et en ce que ledit module de surveillance (15) est agencé pour comparer le contenu de cette table de correspondance à celui de l'un au moins des champs de la trame en cours de transfert, pour générer ledit signal d'alerte lorsque son ou ses champs analysés désignent un port qui ne possède pas de correspon dance avec le port source ayant émis la trame, cette corres pondance formant ladite condition choisie. 8. Commutateur selon la revendication 7 en combinaison avec la revendication 4, caractérisé en ce que le(s)dit(s) champs de trame analysé(s) est (sont) choisi(s) parmi au moins le champ de canal logique et le champ de canal physique. 9. Commutateur selon la revendication 7 en combinaison avec la revendication 5, caractérisé en ce que le(s)dit(s) champs de trame analysés est (sont) choisi(s) parmi au moins le champ d'adresse du port destinataire de la trame et le champ d'adresse du port source de cette trame. 10. Commutateur selon la revendication 7 en combinaison avec la revendication 6, caractérisé en ce que le(s)dit(s) champs de trame analysés est (sont) choisi(s) parmi au moins le champ Virtual Path Identifier et le champ Virtual Channel Identifier. 11. Commutateur selon l'une des revendications 7 à 10, caractérisé en ce que ladite table de correspondance comporte pour chaque port source ou destinataire au moins une liste des adresses destinataire associées, une liste des adresses source associées, une liste de types de flux de trames autorisés sur ledit port, accompagnée des caractéristiques temporelles de chacun desdits flux, et une liste des lon gueurs de trames autorisées à circuler sur ledit port. 12. Commutateur selon la revendication précédente, caracté risé en ce que ladite table de correspondance est stockée dans une mémoire modifiable (18) choisie parmi au moins une mémoire vive, une mémoire de type "flash", et un ensemble de registres associés chacun à un port et à contenu individuel lement configurable. 13. Dispositif selon la revendication 12, caractérisé en ce que ladite mémoire est agencée pour permettre son accès en écriture et/ou en lecture en vue d'une surveillance. 14. Dispositif selon l'une des revendications 7 à 13 en combinaison avec la revendication 4, caractérisé en ce que ledit module de surveillance (15) est agencé pour effectuer comparaison sur le champ de canal logique, puis sur le champ de canal physique. 15. Dispositif selon l'une des revendications 7 à 13 en combinaison avec la revendication 5, caractérisé en ce que ledit module de surveillance (15) est agencé pour effectuer sa comparaison sur le champ d'adresse destinataire, puis sur le champ d'adresse source. . Dispositif selon l'une des revendications 7 13 en combinaison avec la revendication 6, caractérisé en ce que ledit module de surveillance (15) est agencé pour effectuer sa comparaison sur le champ Virtual Path Identifier, puis sur le champ Virtual Channel Identifier. 17. Dispositif selon l'une des revendications 4 à 16, caractérisé en ce que ledit module de surveillance (15) est agencé pour déterminer si le contenu du champ de données de la trame vue par le module sonde (6) présente un format prédéterminé et pour générer ledit signal d'alerte lorsqu'une partie au moins dudit champ de données ne vérifie pas ledit format, cette vérification de format formant ladite condition choisie. 18. Dispositif selon l'une des revendications à 17, caractérisé en ce que ledit module de surveillance (15) est agencé pour déterminer le type de la trame vue par module sonde (6) par analyse du contenu de son champ de type, pour générer ledit signal d'alerte lorsque ledit champ type ne correspond pas au type prédéterminé associé au port ayant émis ladite trame, cette vérification de type formant ladite condition choisie. 19 Dispositif selon l'une des revendications 4 à 18, caractérisé en ce que ledit module de surveillance (15) est agencé pour mesurer le débit des trames vues par module sonde (6), en fonction de leur type, et pour générer ledit signal d'alerte lorsque ledit débit mesuré associé son type ne correspond pas à un débit prédéterminé, cette vérification de débit formant ladite condition choisie. 20 Dispositif selon l'une des revendications 4 à 19, caractérisé en ce que ledit module de surveillance (15) est agencé pour mesurer pour chaque port source l'écart temporel entre les trames de même type qu'il a émises, et pour générer ledit signal d'alerte lorsque l'écart mesuré associé à son type ne correspond pas à un écart prédéterminé, cette vérification d'écart formant ladite condition choisie. 21 Dispositif selon l'une des revendications 4 à 19, caractérisé en ce que ledit module de surveillance (15) est agencé pour mesurer pour chaque port destinataire l'écart temporel entre les trames de même type qu'il a reçues, et pour générer ledit signal d'alerte lorsque l'écart mesuré associé à son type ne correspond pas à un écart prédéterminé, cette vérification d'écart formant ladite condition choisie. 22 Dispositif selon l'une des revendications 4 à 21, caractérisé en ce que ledit module de surveillance (15) est agencé pour mesurer la longueur de chaque trame vue par le module sonde (6), et pour générer ledit signal d'alerte lorsque sa longueur mesurée ne correspond pas à une longueur prédéterminée-- associée - à - type, cette- vérification de longueur formant ladite condition choisie. 23. Dispositif selon l'une des revendications 4 à 22, caractérisé en ce que ledit module de surveillance (15) est agencé pour comptabiliser en chaque port le nombre de trame qu'il émet et le nombre de trame qu'il reçoit, de manière à estimer pour chaque port un taux d'utilisation, et déclencher une invalidation de la liaison entre un port et les circuits de liaison (2,7) auxquels il est relié lorsque son taux d'utilisation estimé ne correspond pas à un taux prédéterminé associé au type de trame de ce port. 24. Dispositif selon l'une des revendications 1 à 23, carac térisé en ce que ledit module de surveillance (15) est agencé pour comptabiliser chaque génération de signal d'alerte associé à chaque port et pour déclencher une invalidation de la liaison entre un port et les circuits de liaison lorsque le nombre de génération de signaux d'alerte comptabilisé pour ce port est supérieur à un seuil. 25. Dispositif selon l'une des revendications 1 à 24, carac térisé en ce que ledit module de surveillance (15) est agencé pour comptabiliser chaque génération de signal d'alerte associé à chaque port et pour déclencher un rejet par l'unité de traitement (4,12) de la trame vue par le module sonde (6), lorsque le nombre de générations de signaux d'alerte compta bilisé pour un port est supérieur à un seuil. 26. Dispositif selon l'une des revendications 1 à 24, carac térisé en ce que ledit module de surveillance (15) est agencé pour comptabiliser chaque génération de signal d'alerte associé à chaque port et pour déclencher un rejet de la trame vue par le module sonde (6), lorsque le nombre de générations de signaux d'alerte comptabilisé pour un port est supérieur à un seuil. 27. Dispositif selon l'une des revendications 1 à 24, caractérisé en ce que ledit module de surveillance (15) est agencé pour déclencher, avec ledit signal d'alerte, le rejet de la trame vue par le module sonde (6). 28. Dispositif selon l'une des revendications 1 à 24, caractérisé en ce que ledit module de surveillance (15) est agencé pour déclencher, avec ledit signal d'alerte, le rejet par l'unité de traitement de la trame vue par le module sonde (6)_ 29. Dispositif selon l'une des revendication 27 et 28, caractérisé en ce que ledit module de surveillance (15) est agencé pour comptabiliser chaque rejet associé à chaque port et pour déclencher une invalidation de la liaison entre un port et les circuits de liaison (2,7) lorsque le nombre de rejets comptabilisé pour ce port est supérieur à un seuil. 30. Commutateur, caractérisé en ce qu'il comporte un dispositif selon l'une des revendications précédentes. 31. Installation de communication, caractérisée en ce qu'elle comporte au moins un commutateur équipé d'au moins un dispositif selon 11 des revendications 1 à 29, les ports dudit commutateur étant reliés à des équipements et des calculateurs. 32. Installation selon la revendication 31, caractérisée en ce qu'elle est implantee dans un aéronef comprenant un calcu lateur de gestion de vol et un calculateur de commande de vol.