Brevet FR2815491A1 — publié le 20020419

La présente invention concerne un système de sauvegarde d'informations de vol d'un avion. Plus particulièrement, l'invention se rapporte à un système de sauvegarde du type comportant des moyens d'acquisition de ces informations associés à des moyens de stockage de celles-ci embarqués à bord de l'avion. Les avions sont déjà équipés de systèmes de ce type qui sont également appelés"enregistreurs de vol"ou"boîtes noires", dans lesquels sont enregistrées des informations de vol de l'avion. Ces informations permettent le cas échéant d'analyser ce qui s'est passé lors d'un accident. Cependant, ces systèmes présentent un certain nombre d'inconvénients notamment au niveau d'une capacité de stockage limitée quant aux informations traitées et de la difficulté de récupérer ces enregistreurs de vol après un accident. Il arrive en effet que ces enregistreurs ou à tout le moins les informations stockées dans ceux-ci soient difficilement exploitables après un accident en dépit des dispositions prises pour les protéger. Le but de l'invention est donc de résoudre ces problèmes. A cet effet, l'invention a pour objet un système de sauvegarde d'informations de vol d'un avion, du type comportant des moyens d'acquisition de ces informations associés à des moyens de stockage de celles-ci embarqués à bord de l'avion, caractérisé en ce qu'il comporte en outre, embarqués à bord de l'avion, des moyens d'émission de ces informations à travers au moins un réseau de communication sans fil, à destination de moyens de réception de celles-ci associés à des moyens de stockage au sol de ces informations pour en assurer la sauvegarde. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, sur lesquels : - la Fig. 1 représente un schéma synoptique illustrant la structure générale d'un système de sauvegarde selon l'invention ; - la Fig. 2 représente un schéma synoptique illustrant plus en détail la structure des liaisons mises en oeuvre dans un système de sauvegarde selon l'invention ; - la Fig. 3 représente un schéma synoptique illustrant la structure générale de moyens d'émission/réception d'informations embarqués à bord d'un avion ; - les Figs. 4 et 5 représentent des organigrammes illustrant le traitement d'informations respectivement en émission et en réception à partir de et dans l'avion ; - la Fig. 6 représente un organigramme illustrant la réception d'une information au sol ; - la Fig. 7 représente un schéma synoptique général de moyens implantés au sol ; et - les Figs. 8 et 9 représentent des organigrammes illustrant le traitement des informations au sol. Tel qu'illustré sur la figure 1, un système de sauvegarde d'informations selon l'invention, comporte trois parties principales, à savoir une première partie désignée par la référence générale 1 embarquée à bord de l'avion, une deuxième partie de transmission d'informations 2 et une troisième partie 3 implantée au sol. En fait, et comme cela sera décrit plus en détail par la suite, la partie 1 embarquée à bord de l'avion comporte des moyens d'acquisition d'informations de vol de cet avion associés à des moyens de stockage de celles-ci et des moyens d'émission de ces informations à travers des moyens de transmission, comprenant au moins un réseau de communication sans fil de la deuxième partie 2 du système, à destination de moyens de réception de celles-ci, associés à des moyens de stockage au sol de ces informations, implantés dans la troisième partie 3 du système. De façon plus précise et comme cela est illustré sur la figure 2, où l'on reconnaît les trois parties principales 1,2 et 3 du système, les moyens de transmission d'informations 2 comportent au moins deux réseaux de communication différents désignés par les références générales 4 et 5. L'un des réseaux de communication est par exemple un réseau terrestre et l'autre, un réseau satellitaire. La partie 1 du système comporte alors des moyens d'émission des informations de vol, désignés par la référence générale 6, à travers ces deux réseaux de communication sans fil, et qui sont adaptés pour émettre celles-ci sur deux canaux différents du ou de chaque réseau de communication comme cela est illustré par les références 7, 8, 9 et 10, pour former dans l'exemple décrit quatre liaisons entre l'avion et le sol.' C'est ainsi par exemple que les moyens d'émission 6 embarqués dans l'avion, sont adaptés pour émettre les informations sur deux canaux 7 et 8 du réseau 4 et sur deux canaux 9 et 10 du réseau 5. La partie 3 du système au sol comporte quant à elle au moins deux stations distantes de réception au sol des informations, désignées par les références 11 et 12, ces stations 11 et 12 étant reliées par une liaison spécialisée sécurisée par ligne de secours, désignée par la référence générale 13 pour permettre un échange et une corrélation des informations reçues. On a représenté sur la figure 3, un exemple de réalisation de la partie du système embarquée à bord de l'avion. Cette partie est désignée par la référence générale 14 sur cette figure 3 et comprend par exemple des moyens de connexion aux équipements de l'avion, désignés par la référence générale 15. Ces moyens de connexion comprennent par exemple tous moyens classiques de câblage et de raccordement, habituellement utilisés à l'intérieur des avions et fonction des différents appareils à relier, simple capteur, système audiophonique ou autre. Cette partie embarquée 14 comporte également une alimentation sécurisée par redondance désignée par la référence générale 16, formée également par tous moyens classiques d'alimentation électrique stabilisée avec utilisation de batteries de secours se rechargeant au cours d'une alimentation normale en courant électrique et intervenant automatiquement en cas de rupture de l'alimentation principale afin de fournir le courant électrique nécessaire en sortie. Ce système est lui-même doublé par un lien électronique entre les deux alimentations pour permettre l'identification de celle qui est réellement utilisée en sortie pour assurer l'alimentation du système embarqué. De plus, il est prévu une unité de traitement comprenant des dispositifs de traitement primaire et secondaire désignés par les références 17 et 18 pour assurer les fonctions de traitement nécessaires, constitués à base de microprocesseurs dont la fiabilité est optimisée. Ces dispositifs sont donc doublés et reliés de façon similaire à ce qui se rencontre dans les dispositifs à tolérance de panne, afin qu'ils se surveillent mutuellement. Des moyens de chiffrement, de signature, de compression et de formatage des informations, désignés par les références générales respectives 19,20, 21 et 22 sont également implantés dans cette partie embarquée du système. Les moyens de chiffrement nécessitent beaucoup de ressources informatiques et de temps. Il est donc préférable d'utiliser un microprocesseur dédié spécialement conçu pour ce type de traitement et offrant ainsi une meilleure sécurité. L'algorithme de chiffrement retenu peut faire appel à n'importe quelle logique, à savoir symétrique, la même clé servant au chiffrement et au déchiffrement ou asymétrique, avec une notion de clé privée et de clé publique. Les moyens de signature retenus doivent systématiquement inclure dans leur logique de calcul, des clé et numéro du système embarqué, tels que stockés dans des moyens de mémorisation 23 de cette partie. L'obtention de la signature peut s'opérer soit par une logique informatique traditionnelle faisant appel aux ressources de l'unité de traitement, soit par un microprocesseur dédié permettant d'optimiser le temps de traitement. Les moyens de compression peuvent également utiliser n'importe quel algorithme de compression. Il est cependant préférable de faire appel à un microprocesseur dédié afin d'effectuer le traitement le plus rapidement possible. Une compression préalable des informations avant transfert est en effet préférable à une compression à la volée au moment du transfert et ce d'autant que les informations une fois réceptionnées au sol, sont stockées sous forme compressée. Contrairement aux trois moyens et logiques décrits précédemment de chiffrement, de signature et de compression, les moyens de formatage ne nécessitent pas d'avoir recours à un microprocesseur spécialisé. Le résultat peut donc être obtenu en utilisant les ressources de l'unité de traitement. La partie embarquée 14 comprend également un mécanisme de stockage des traitements désigné par la référence générale 24, dont le but est de stocker une suite d'instructions informatiques, c'est-à-dire de programmes de traitement, et ce mécanisme peut utiliser des mémoires traditionnelles ayant comme particularité de ne pas pouvoir être modifiées une fois enregistrées. Des moyens d'émission et de réception d'informations désignés par la référence générale 25, sont également prévus et peuvent être constitués par n'importe quel matériel existant. Les moyens de stockage du numéro et de la clé désignés par la référence générale 23 et mentionnés précédemment, peuvent être formés par n'importe quelle mémoire morte classique non effaçable. La partie embarquée 14 comporte également une horloge interne désignée par la référence générale 26 également choisie parmi les horloges déjà connues dans l'état de la technique, dont le principal critère de choix sera celui de la fiabilité. La partie embarquée 14 comprend également une mémoire tampon sécurisée désignée par la référence générale 27 choisie parmi les moyens électroniques classiques de mémorisation d'informations offrant la possibilité de modifier leur contenu. La seule spécificité de cette mémoire sera de prévoir un dispositif additionnel classique permettant de conserver l'information mémorisée même en cas de dysfonctionnement et ce jusqu'à réception d'un ordre de suppression effective d'informations. Enfin, cette partie 14 est également équipée d'un système 28 de saisie de numéro de vol ou d'autres données, formé également par tout dispositif classique disponible et de préférence par un simple clavier numérique associé par exemple à un petit afficheur à cristaux liquides. Une fois initialisé correctement, c'est-à-dire une fois un compteur de messages initialisé, et les différentes informations d'authentification et de clé entrées, le système est prêt à émettre des informations. L'émission d'informations par les moyens embarqués à bord de l'avion est illustrée sur la figure 4. Sur cette figure, l'étape 30 illustre l'acquisition des informations que celles-ci soient des informations de vol ou des données audiophoniques, dans l'avion. Lors de l'étape 31, ces informations sont enregistrées dans la mémoire tampon par exemple 27. En 32, ces informations sont acquises par les dispositifs de traitement pour, en 33, constituer les messages correspondants et supprimer les informations dans la mémoire tampon 27. En 34, les messages sont enregistrés dans la mémoire tampon 27 et en 35, une demande d'émission des messages est émise aux moyens d'émission/réception 25. Cette émission d'informations se fait alors sur les deux canaux de chaque réseau de transmission d'informations, un rythmeur étant activé en 36 pour déclencher une attente d'accusé de réception d'informations en provenance du sol. On conçoit alors que les différentes informations sont transmises sous la forme de messages formatés, numérotés, chiffrés, datés, signés et comprimés de façon classique à partir des moyens embarqués à bord de l'avion. On a illustré sur la figure 5, l'exemple de la réception dans l'avion d'un message en provenance du sol. Lors de l'étape 37, les messages envoyés par les stations au sol sont reçus et sont enregistrés dans la mémoire tampon 27, en 38, dans l'avion. Ces messages sont repris par les dispositifs de traitement en 39 et les informations stockées dans la mémoire tampon sont supprimées. En 40, on contrôle l'intégrité des messages reçus. Si le contrôle d'inté- grité échoue, on envoie un message d'erreur en 41 pour déclencher une incrémentation d'un compteur d'erreur et une requête d'une nouvelle émission des messages est émise à destination des stations au sol. Si le test d'intégrité en 40 est positif, on poursuit le contrôle du message en 42 pour déterminer si celui-ci est correct ou non. Si celui-ci est correct, on enregistre en 43 l'accusé de réception émis, on désactive le rythmeur, on supprime les messages dans la mémoire tampon et on incrémente un compteur global. Par contre, si la réponse au test en 42 est négative, on déclenche en 44, une incrémentation du compteur d'erreur et on émet une requête d'une nou- velle émission en direction des stations au sol. Le traitement des informations arrivant au sol est illustré sur la figure 6. En 45, les informations arrivent dans les stations au sol en vue de leur enregistrement dans une mémoire tampon de ces stations, en 46. Ces informations sont reprises en 47 par une unité de traitement correspondante de ces stations et ces messages sont supprimés de la mémoire tampon. En 48, on contrôle l'intégrité de ces messages. Si ce contrôle d'intégrité est négatif, on génère en 49 l'émission d'un message d'erreur d'intégrité et une requête d'une nouvelle émission de messages est émise à destination de l'avion. Par contre, si le contrôle d'intégrité est positif, en 50, on génère et on émet un accusé de réception à destination de l'avion. En 51, on vérifie que les deux stations au sol ont bien reçu le même message dans une période de temps prédéterminée pour éventuellement en 52 si ce n'est pas le cas, déclencher le fonctionnement de moyens d'alarme. Par contre si c'est le cas, on stocke en 53 le message reçu. La structure générale des moyens de stockage au sol des informations est illustrée sur la figure 7, où l'on a désigné de façon générale par la référence 54, ces moyens. Ces moyens comportent une unité d'émission/réception d'informations désignée par la référence générale 55, des moyens d'archivage 56 et une mémoire tampon 57. Le fonctionnement de ces différents moyens est contrôlé par une unité de traitement. La vérification en 51 de la bonne réception par les deux stations au sol de messages cohérents pendant une période de temps prédéterminée est illustrée sur la figure 8. La première station recevant le message interroge la seconde station en 58, pour obtenir une réponse en 59. Si une réponse positive est reçue et si les deux messages reçus sont cohérents, on déclenche en 60, l'archivage du message reçu et la suppression de ceux-ci de la mémoire tampon 57. Si la réponse en 59 est négative, en 61, on procède également au stockage du message reçu avant de déclencher en 62, le fonctionnement de moyens d'alarme indiquant une défaillance. En 63, on déclenche la mise à jour d'un journal d'erreur avec émission à destination de l'avion, en 64, d'informations d'erreur. L'archivage des informations est quant à lui illustré sur la figure 9. En 65, on recherche le message suivant à archiver. En 66, selon que ce message existe ou non, on ajoute à ce message, en 67, une information relative au nombre de réceptions pour ce message et on met à jour une base de données. En 68, si ce message est un message audiophonique, on déclenche en 69, une écriture correspondante dans un fichier de données relatives à l'avion, cette écriture étant vérifiée en 70 avant la suppression du message en 71, de la mémoire tampon. Si le message n'est pas un message audiophonique, en 68, on déclenche son écriture par exemple dans une mémoire de type WORM, en 72, puis on vérifie cette écriture en 73, avant la suppression du message dans la mémoire tampon, en 74. Si le message n'existe pas en 66, on interroge en 75 l'autre station par le numéro de message manquant. Si le message existe en 76, on revient vers l'étape 67 d'ajout de l'information de nombre, tandis que s'il n'existe pas, on comptabilise en 77, le nombre de tentatives pour récupérer ce message et on incrémente le compteur global. Si au bout de trois tentatives, on n'a toujours pas récupérer de message, on procède par exemple à un changement de canal de transmission de réseau de façon automatique et une alerte est engendrée pour prévenir du problème. Ceci permet par exemple d'empêcher que des informations soient fal- sifiées en cours de transfert. Comme cela a été indiqué précédemment, deux réseaux de transmission d'informations sont utilisés et deux canaux sont utilisés pour chaque réseau. Ceci est important pour des raisons de sécurité. Il y a donc en tout quatre liaisons permettant d'assurer le transfert des informations. En cas de problème de transmission, c'est-à-dire si l'une et/ou l'autre des liaisons assurées par ces canaux est défaillante, une alarme peut être générée pour déclencher par exemple une intervention. Les informations sont donc réceptionnées automatiquement dans au moins deux sites distants l'un de l'autre, placés par exemple l'un dans l'hémis- phère Nord et l'autre dans l'hémisphère Sud. L'enregistrement des données après contrôle d'intégrité peut avoir lieu par exemple sur un support de type WORM ("Write Once, Read Many"). En parallèle, le système met à jour un catalogue de données réceptionnées dont les principaux éléments sont par exemple le code de la compagnie aérienne, le type d'avion, le numéro d'identification, c'est-à-dire l'immatriculation de l'avion, le numéro de vol, la date du vol, l'heure de début et de fin de vol. Si ce contrôle d'intégrité révèle une anomalie, le système au sol demande une nouvelle émission des informations concernées au système embarqué. Au bout de trois tentatives de transmission restées infructueuses, un changement de canai est déclenché automatiquement et une alarme est générée, au niveau par exemple d'un organisme de gestion du système. On conçoit que les autres fonctionnalités des moyens au sol sont analogues à celles des moyens embarqués à bord de l'avion, de sorte que l'on ne les décrira pas plus en détail par la suite. On conçoit alors que grâce à une telle structure, il est possible de sauvegarder au sol les informations de vol d'un avion et de les récupérer de façon extrêmement fiable pour analyser toute défaillance. REVENDICATIONS 1. Système de sauvegarde d'informations de vol d'un avion, du type comportant des moyens d'acquisition de ces informations associés à des moyens de stockage de celles-ci embarqués à bord de l'avion, caractérisé en ce qu'il comporte en outre, embarqués à bord de l'avion, des moyens (1) d'émission de ces informations à travers au moins un réseau de communication sans fil (2), à destination de moyens (3) de réception de celles-ci associés à des moyens de stockage au sol de ces informations pour en assurer la sauvegarde. 2. Système selon la revendication 1, caractérisé en ce que les moyens d'émission d'informations (1) sont adaptés pour émettre celles-ci à travers deux réseaux de communication différents (4,5) à destination des moyens de réception (3). 3. Système selon la revendication 2, caractérisé en ce que l'un des réseaux de communication (4,5) est un réseau terrestre et l'autre, un réseau satellitaire. 4. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que les moyens de réception comprennent au moins deux stations distantes (11,12) de réception au sol des informations. 5. Système selon la revendication 4, caractérisé en ce que les deux stations au sol (11,12) sont raccordées par des moyens (13) d'échange et de corrélation des informations reçues par celles-ci pour détecter une éventuelle discordance entre ces informations afin de déclencher le fonctionnement de moyens d'alarme. 6. Système selon la revendication 4 ou 5, caractérisé en ce qu'il comporte des moyens de vérification de la réception d'un message par les deux stations (11,12) dans une période de temps prédéterminée pour si ce n'est pas le cas, déclencher le fonctionnement de moyens d'alarme. 7. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que les moyens (1) d'émission des informations sont adaptées pour émettre celles-ci sur deux canaux différents (7,8, 9,10) du ou de chaque réseau de communication (4,5). 8. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que les informations sont transmises sous la forme de messages formatés, numérotés, chiffrés, datés, signés et comprimés. 9. Système selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte des moyens de contrôle de l'intégrité des liaisons (7,8, 9,10) de communication entre l'avion et les moyens de stockage au sol des informations.