Brevet FR2833433A1 — publié le 20030613

PROCEDE DE CODAGE D'UNE INFORMATION BOOLEENNE PRESENTANT UNE VALEUR PLUS CRITIQUE QUE L'AUTRE. La présente invention est relative au codage d'informations de type booléen, c'est-à-dire ne pouvant prendre que deux valeurs distinctes. Elle concerne plus particulièrement un codage à sécurité positive, pour des informations de type booléen ayant une de leurs deux valeurs possibles, dite de travail, plus critique que l'autre dite de repos, la criticité d'une valeur consistant dans le fait qu'elle ne doit pas apparaître en présence d'une panne de l'équipement qui émet l'information. Les informations de type booléen, avec une de leurs deux valeurs possibles plus critique que l'autre, sont échangées au sein de nombreux systèmes d'équipements, notamment ceux chargés de l'automatisation de processus, comme par exemple, le système d'équipements embarqués à bord d'un aéronef pour assurer son pilotage automatique. Elles servent aux équipements d'un système à s'informer mutuellement du mode de fonctionnement automatique ou non du système, c'est-à-dire hors ou sous l'intervention d'un opérateur, et de la présence éventuelle de pannes nécessitant une reconfiguration du système ou un abandon du mode de fonctionnement automatique. Il est de la plus haute importance que la sécurité soit positive, c'est-à-dire qu'une panne lors de l'élaboration de l'une de ces informations de type booléen à valeur critique ou de la transmission de celle-ci à un équipement utilisateur aboutisse toujours à une mise en sécurité, soit par une rupture du mode de fonctionnement automatique, soit par une non-transmission de fausse alarme. Il importe en effet que le système reste sous contrôle quelle que soit la panne endurée. Ce genre d'information booléenne est en général codé soit par une présence ou une absence de tension, soit par une présence ou une absence de courant lorsque la liaison de transmission utilise un câblage électrique ou encore, par une présence ou une absence de faisceau lumineux lorsque la liaison de transmission utilise un câblage optique. Pour la sécurisation, différentes solutions ont été proposées relevant essentiellement de la technique du chien de garde ou de celle du vote majoritaire. La technique du chien de garde consiste à doter l'équipement émetteur, d'une minuterie constamment armée pour déclencher une alarme de mauvais fonctionnement et forcer l'information booléenne à sa valeur noncritique, et à obliger l'équipement émetteur à remettre périodiquement à zéro la minuterie avant qu'elle ne se déclenche. L'inconvénient d'une solution mettant en oeuvre la technique du chien de garde est qu'elle implique, en plus d'un circuit chien de garde, des circuits spécialisés supplémentaires intervenant au niveau du port d'émission de l'information de type booléen pour la forcer, sur commande, à sa valeur non-critique, ce qui complique l'architecture des équipements émetteurs et va à l'encontre de leurs disponibilités. En outre, elle n'apporte aucune protection contre une panne intervenant en aval au niveau des amplificateurs de sortie de l'équipement émetteur, des liaisons entre équipement émetteur et équipements destinataires, et des ports d'entrée et des circuits de capture de l'information de type booléen des équipements destinataires. La technique du vote majoritaire consiste à élaborer dans l'équipement émetteur, de façons indépendantes, plusieurs versions de la même information de type booléen dont une des deux valeurs est critique, à faire parvenir toutes ces versions, également par des voies indépendantes, aux équipements destinataires et à donner à l'information de type booléen reçue dans un équipement destinataire, la valeur majoritaire constatée. Les solutions mettant en oeuvre la technique du vote majoritaire ont une zone de protection plus étendue que celles mettant en oeuvre la technique du chien de garde mais elles conduisent à une augmentation encore plus importante de la complexité des équipements et de leurs interconnexions avec les équipements destinataires. La présente invention a pour but de lutter contre les inconvénients précités. Plus généralement, elle a pour but de sécuriser la conception et l'échange, entre des équipements calculateurs ou autres, d'informations de type booléen dont une des deux valeurs est critique. Elle a pour objet un procédé de codage d'une information de type booléen, ne pouvant prendre que deux valeurs distinctes dont une dite de travail est plus critique que l'autre dite de repos. Ce procédé est remarquable en ce que la valeur critique de travail est codée par des transitions périodiques entre deux états statiques et la valeur moins critique de repos par l'un desdits états statiques En faisant correspondre, à la valeur la plus critique d'une information de type booléen, des transitions périodiques entre deux états statiques, on oblige l'équipement élaborant cette information à manifester une certaine activité pour maintenir cette valeur critique. On évite ainsi les situations de blocage à cette valeur à la suite d'une panne rendant inerte l'équipement émetteur. Cela va dans le sens de la sécurité positive toujours recherchée dans les systèmes d'équipements en charge de tâches mettant en jeu la sécurité. Avantageusement, les deux états statiques sont deux niveaux de tensions électriques dont un nul codant la valeur de repos. Avantageusement, les deux états statiques sont des intensités de courant électrique dont une nulle codant la valeur de repos. Avantageusement, les deux états statiques sont deux valeurs d'intensité lumineuse dont une nulle codant la valeur de repos. Avantageusement, lorsque l'équipement émetteur de l'information de type booléen dont une valeur est plus critique que l'autre, est un calculateur multitâche opérant en répartissant son temps de traitement entre différentes tâches à exécuter considérées une à une, selon un séquencement construit sur une période de base répétitive qui correspond à la plus longue des périodes des tâches périodiques à accomplir et qui est constituée d'un ensemble de périodes élémentaires de traitement réparties entre les différentes tâches répertoriées périodiques ou non, la période des transitions codant la valeur critique de l'information de type booléen est prise égale à ladite période de base, une tâche périodique auxiliaire d'élaboration de transition étant ajoutée aux différentes tâches périodiques ou non exécutées pendant ladite période de base. Avantageusement, ladite tâche périodique auxiliaire d'élaboration de transition consiste à faire inscrire par un calculateur, dans un registre mémoire d'activité, un digit binaire dont la valeur 0 ou 1 s'inverse d'une période de base à la suivante. D'autres caractéristiques et avantages de l'invention ressortiront de la description ci-après, d'un mode de réalisation donné à titre d'exemple. Cette description sera faite en regard du dessin dans lequel : - des figures 1 et 2 sont des diagrammes illustrant le codage d'une information de type booléen selon le procédé de l'invention, et son décodage en l'absence et en présence d'une panne, - une figure 3 représente, de manière schématique, un système d'équipements émetteur et récepteur échangeant une information de type booléen dont l'une des valeurs est plus critique que l'autre, et les avantages apportés par le procédé de codage selon l'invention, et - une figure 4 est un diagramme illustrant un partage de tâches possible pour l'exploitation par des calculateurs multitâches, du procédé de codage selon l'invention, aussi bien à l'émission qu'à la réception. Le diagramme de la figure 1 montre le codage d'une information de type booléen 10 pouvant prendre deux valeurs distinctes, dont une dite de travail T est plus critique que l'autre dite de repos R. A cette information de type booléen, le codage fait correspondre un signal binaire 11 pouvant prendre deux niveaux distincts : un niveau 0 et un niveau 1. Plus précisément, il maintient le signal binaire 11 au niveau 0 sur toute durée DR où l'information de type booléen 10 est à sa valeur de repos R et le fait commuter régulièrement, avec une périodicité Pc, entre les niveaux 0 et 1 sur toute durée DT où l'information de type booléen 10 est à sa valeur de travail T. Ainsi, un équipement émetteur doit faire preuve d'une certaine activité pour maintenir le signal binaire 11 dans son état correspondant à la valeur de travail T de l'information de type booléen. Si, par suite d'une panne, il devient inerte, le signal binaire 11 qu'il engendre se fige à un niveau statique 0 ou 1 et ne présente plus aucune transition de sorte que son état ne peut plus correspondre à la valeur de travail T de l'information de type booléen. Pour plus de sécurité, le niveau statique 0 traduisant la valeur de repos R de l'information de type booléen peut correspondre, soit à une tension électrique nulle ou à une intensité de courant électrique nulle si le signal binaire résultant du codage est destiné à être acheminé par câble électrique, l'autre niveau statique 1 correspondant alors à une tension électrique ou à un courant électrique de valeur non nulle, soit à une intensité lumineuse nulle si le signal binaire résultant du codage est destiné à être acheminé par un câble optique, l'autre niveau statique 1 correspondant alors à une intensité lumineuse non nulle. Ainsi la transmission de la valeur de repos R de l'information de type booléen n'est pas perturbée par une rupture de câble de liaison. Le décodage consiste à échantillonner le signal binaire 11 résultant du codage à la fréquence des transitions éventuelles ou à une fréquence supérieure. Sur les figures 1 et 2, les flèches tournées vers le haut représentent les transitions de l'horloge de codage qui coïncident avec celles du signal binaire 11 lorsqu'elles existent, tandis que les flèches tournées vers le bas représentent les transitions de l'horloge de décodage définissant les instants d'échantillonnage du signal binaire 11. Avantageusement, comme cela est représenté, l'horloge utilisée au décodage a la même période que celle utilisée au codage pour rythmer les transitions mais est en quadrature avec cette dernière. La figure 2 est un diagramme montrant les différents cas qu'il est possible de rencontrer pendant le décodage d'un signal binaire 12 résultant du procédé de codage proposé. Au cours d'une première durée Do, le signal binaire 12 reste au niveau 0. Il est décodé comme correspondant à la valeur de repos R de l'information de type booléen transmise 13. Cette valeur de repos R n'est pas sécurisée dans la mesure où elle peut correspondre, soit à la valeur réelle de l'information de type booléen transmise si l'équipement émetteur de l'information de type booléen, les circuits de codage, la liaison de transmission et les circuits de décodage utilisés fonctionnent correctement, soit à une valeur erronée par suite d'un blocage de l'équipement émetteur ou des étages de réception et de décodage de l'équipement récepteur ou même d'un problème sur la liaison utilisée. Cette absence de sécurisation est sans importance dans la mesure où l'on suppose que la valeur de repos R est la valeur de repli assurant la sécurité en cas de panne. Au cours d'une deuxième durée Di, le signal binaire 12 présente des transitions périodiques. Ces transitions sont détectées au décodage avec une demi-période de retard et le signal binaire 12 est décodé comme correspondant à la valeur de travail T de l'information de type booléen transmise 13. Cette valeur de travail T est sécurisée dans la mesure où la détection des transitions dans le signal binaire 12 démontre une activité de l'équipement émetteur, tout au moins de ses étages de codage et d'émission, l'intégrité de la liaison de transmission utilisée et une activité des étages de réception et de décodage de l'équipement récepteur. Au cours d'une troisième durée D3, le signal binaire 12 reste au niveau 1. La disparition des transitions est détectée avec une demi-période de retard de sorte que, après décodage, la troisième durée D3 apparaît retardée en D'3. L'absence de détection de transition au cours de cette durée D'3 est attribuée à une situation de panne à laquelle l'équipement récepteur est préparé et réagit de manière à se mettre en sécurité. Au cours d'une quatrième durée D4, les transitions du signal binaire 12 réapparaissent. Elles sont à nouveau, détectées au décodage, toujours avec une demi-période de retard, et le signal binaire 12 est interprété en réception, comme correspondant à la valeur de travail T de l'information de type booléen transmise 13. Si l'on prend l'exemple du pilote automatique d'un aéronef, qui est un calculateur pouvant prendre en charge les commandes des gouvernes et des moteurs d'un aéronef sans l'assistance du pilote, il engendre différentes informations critiques de type booléen signalant son mode de fonctionnement et différentes alarmes aux équipements qu'il contrôle. Il est de la plus haute importance pour la sécurité d'un vol, que le pilote soit toujours en mesure de reprendre en main les commandes. Or cette prise de contrôle implique un signalement, par le pilote automatique, de la cessation du mode de fonctionnement automatique, à destination des équipements qu'il contrôle. Ce signalement se fait par l'intermédiaire d'une information de type booléen qui passe d'une valeur critique signalant le mode de fonctionnement en pilotage automatique à une valeur non critique signalant l'arrêt de ce mode de fonctionnement et qui est transmise par une liaison spécialisée. Il ne doit pas être éludé à la suite d'un dysfonctionnement du calculateur du pilote automatique ou de ses interconnexions avec les équipements contrôlés car sinon, l'aéronef reste en mode de pilotage automatique malgré le désire du pilote de reprendre les commandes. Etant donnée la criticité de l'information de mode de fonctionnement en automatique, il est usuel de la transmettre sous la forme d'un niveau de tension ou de courant différent de zéro mais même avec cette précaution, elle peut encore provenir d'un calculateur de pilotage automatique bloqué par une panne et empêcher un débrayage de l'automatisme alors que cela est indispensable. Une parade possible et réellement efficace trouvée à ce jour est l'utilisation d'un coupe-circuit dit"poire de débrayage"intercalé sur la liaison d'interconnexion transmettant l'information de mode de fonctionnement automatique. Avec le codage proposé pour les informations de type booléen présentant une valeur critique et l'autre non, la valeur critique correspondant au signalement du mode de fonctionnement en pilotage automatique ne peut être maintenue par le calculateur du pilote automatique que s'il manifeste une certaine activité. On échappe ainsi au refus de débrayage du pilote automatique en cas d'un blocage total de celuici, ce qui améliore grandement la sécurité. La figure 3 illustre l'étendue de la zone de sécurité 20,21 apportée par le procédé de codage proposé. Celle-ci couvre non seulement, comme avec les dispositifs de type chien de garde de la technique antérieure, la partie logicielle et matérielle 30a de l'équipement émetteur 30 élaborant l'information de type booléen mais également la partie logicielle et matérielle 30b de l'équipement émetteur 30 assurant l'interface de sortie, la liaison de transmission 40,41 et la partie logicielle et matérielle 50b, 51 b assurant l'interface d'entrée des équipements récepteurs 50,51. En effet, s'il y a un blocage de ces parties logicielles et matérielles ou une défaillance de la liaison de transmission, la valeur critique de l'information de type booléen ne peut se maintenir vu son codage par des transitions périodiques. Le procédé de codage qui vient d'être décrit est facile à mettre en oeuvre avec des équipements émetteurs et/ou récepteur incorporant un calculateur multitâche car l'exécution d'une tâche auxiliaire d'émission ou d'acquisition périodique d'un signal binaire ne requiert qu'un très faible temps de traitement qui peut être pris en charge par le calculateur multitâche sans effet perceptible sur son activité globale. En effet, un calculateur multitâche exécute une à une, l'ensemble des tâches qui lui sont confiées et donne l'illusion d'une exécution simultanée en partageant son temps en une succession de courtes périodes élémentaires de traitement qu'il répartit entre les différentes tâches. Au cours d'une période élémentaire de traitement, il effectue souvent un traitement parcellaire, des précautions étant prises en fin de période élémentaire de traitement pour résumer l'état provisoire d'exécution atteint par la tâche considérée et être capable de reprendre un traitement de tâche à l'endroit où il avait été laissé précédemment. La durée d'une période élémentaire de traitement peut être variable et résulte d'un compromis entre les possibilités de fractionnement de la tâche considérée et les possibilités d'attente des autres tâches. En règle générale, on distingue les tâches périodiques qu'il faut exécuter de manière répétitive et systématique, des autres tâches qui peuvent attendre des creux d'activité du calculateur, telles que des autotests. Le séquencement d'un calculateur multitâche qui définit la succession, les affectations aux différentes tâches à effectuer et les durées de ses périodes élémentaires de traitement, est organisé, en règle générale, autour d'une période de base répétitive. Cette dernière correspond à la plus longue des périodes des tâches périodiques à faire assumer par le calculateur multitâche. Elle rassemble un ensemble de périodes élémentaires de traitement réparties entre les différentes tâches périodiques répertoriées et des tâches non périodiques éventuelles. Le diagramme de la figure 4 illustre un séquencement de ce type, organisé autour d'une période de base répétitive, qui renferme un groupe de périodes élémentaires de traitement affectées en priorité aux tâches périodiques, et accessoirement, dans la mesure où il reste des temps élémentaires de traitement inutilisés, à des tâches non périodiques. Avec un tel séquencement, il est avantageux pour le procédé de codage d'information de type booléen qui vient d'être décrit, de prendre une période de transitions égale à la période de base répétitive et d'ajouter une tâche périodique auxiliaire d'émission ou d'acquisition d'un signal binaire de codage d'information de type booléen, une acquisition avec détection de transition depuis la période de base précédente montrant la présence d'une information de type booléen de valeur critique, et une non-détection de transition montrant la présence d'une information de type booléen de valeur non-critique. La tâche périodique auxiliaire d'émission est une tâche d'élaboration de transitions qui peut consister à faire inscrire par le calculateur, dans un registre mémoire d'activité, un digit binaire dont la valeur 0 ou 1 s'inverse d'une période de base à la suivante. REVENDICATIONS 1. Procédé de codage d'une information de type booléen (10), ne pouvant prendre que deux valeurs distinctes dont une (T) dite de travail est plus critique que l'autre (R) dite de repos, caractérisé en ce que la valeur critique de travail (T) est codée par des transitions périodiques entre deux états statiques (0,1) et la valeur moins critique de repos (R) par l'un desdits états statiques (0 ou 1). 2. Procédé selon la revendication 1, caractérisé en ce que les deux états statiques (0,1) sont deux niveaux de tensions électriques dont un nul codant la valeur de repos (R). 3. Procédé selon la revendication 1, caractérisé en ce que les deux états statiques (0,1) sont des intensités de courant électrique dont une nulle codant la valeur de repos (R). 4. Procédé selon la revendication 1, caractérisé en ce que les deux états statiques (0,1) sont deux valeurs d'intensité lumineuse dont une nulle codant la valeur de repos (R). 5. Procédé selon la revendication 1, caractérisé en ce que, lorsque l'équipement émetteur (30) de l'information de type booléen dont une valeur (T) est plus critique que l'autre (R), est un calculateur multitâche opérant en répartissant son temps de traitement entre différentes tâches à exécuter considérées une à une, selon un séquencement construit sur une période de base répétitive qui correspond à la plus longue des périodes des tâches périodiques à accomplir et qui est constituée d'un ensemble de périodes élémentaires de traitement réparties entre les différentes tâches répertoriées périodiques ou non, la période des transitions (Pc) codant la valeur critique (T) de l'information de type booléen est prise égale à ladite période de base, une tâche périodique auxiliaire d'élaboration de transitions étant ajoutée aux différentes tâches périodiques ou non exécutées par le calculateur multitâche pendant ladite période de base. 6. Procédé selon la revendication 5, caractérisé en ce que, ladite tâche périodique auxiliaire d'élaboration de transitions consiste à faire inscrire par un calculateur, dans un registre mémoire d'activité, un digit binaire dont la valeur 0 ou 1 s'inverse d'une période de base à la suivante.