Brevet FR2845545A1 — publié le 20040409

L'invention se rapporte à un procédé d'échange sécuritaire de messages d'information envoyés successivement, à intervalles de temps donnés, d'une plate-forme émettrice vers une plate-forme réceptrice. L'invention concerne plus particulièrement un procédé permettant de s'assurer que le dernier message capté par la plate-forme réceptrice correspond au dernier message envoyé par la plate-forme émettrice. Le procédé selon l'invention trouve notamment une application dans les systèmes de conduite et/ou de supervision de trains, dénommés SACEM (pour "système d'Aide à la Conduite, à l'Exploitation et à la Maintenance") comprenant un poste de commande centralisé, des installations fixes le long des voies et un équipement de 10 commande dans chaque train. Dans de tels systèmes de conduite, le poste de commande centralisé transmet, à intervalles de temps réguliers, des messages d'information aux installations fixes, ces messages comportant des informations relatives aux conditions de circulation sur un ou plusieurs cantons de voie situés en aval de l'installation fixe. L'équipement de commande de tout train se trouvant sur le 15 réseau reçoit alors, des installations fixes, le dernier message d'information reçu par l'installation fixe et en déduit la vitesse de marche à adopter. Lors de l'échange de tels messages d'information il est indispensable, pour des questions de sécurité, d'être sr que le dernier message reçu par les installations fixes correspond bien au dernier message d'information envoyé par le poste de commande centralisé. Or, compte tenu 20 des différents composants intervenant dans la transmission des messages et de la distance relativement importante pouvant exister entre le poste de commande centralisé et les installations fixes, il est possible que certains messages soient perturbés et retardés dans leur transmission et parviennent tardivement aux installations fixes provoquant ainsi une modification de l'ordre de réception des 25 messages d'information par l'installation fixe par rapport à l'ordre d'émission par le poste de commande centralisé. Dans un tel cas le message d'information actualisé au niveau de l'installation fixe ne correspond plus au dernier message réellement envoyé par le poste de commande centralisé. Bien que de tels phénomènes soient rares, ils doivent absolument être détectés pour assurer la sécurité du trafic. Classiquement, il est connu pour sécuriser la transmission des messages d'information, d'effectuer des échanges bidirectionnels et permanents des données de sorte que le message d'information reçu par l'installation fixe soit réémis vers le poste de commande centralisé qui s'assure de sa correspondance avec le message 5 d'information envoyé. Toutefois, de tels procédés utilisant des échanges bidirectionnels des données mettent en oeuvre des procédés de traitements complexes nécessitant des dispositifs coteux à l'arrivée et au départ. Le but de la présente invention est donc de proposer un procédé d'échange sécuritaire de messages d'information qui permette de s'assurer, lors d'échanges successifs 10 unidirectionnels de messages d'information entre une plate-forme émettrice et une plate-forme réceptrice, que le dernier message capté par la plate-forme réceptrice correspond bien au dernier message envoyé par la plate-forme émettrice afin de pouvoir valider la bonne actualisation du message d'information au niveau de la plate-forme réceptrice. 1 5 A cet effet, l'invention a pour objet un procédé d'échange sécuritaire de messages d'information envoyés successivement d'une plate- forme émettrice vers une plateforme réceptrice, caractérisé en ce qu'il comporte: a) une séquence d'initialisation dans laquelle au moins un message d'initialisation contenant l'information relative à la date t, d'envoi du premier 20 message d'information MI est échangé entre la plateforme émettrice et la plate forme réceptrice de sorte que les platesformes émettrice et réceptrice connaissent alors, l'une et l'autre, la date d'envoi t, du premier message d'information MI. b) une séquence de transmission des messages d'information dans laquelle: - les messages d'information sont envoyés successivement par la plateforme émettrice à intervalles de temps ATE donnés avec une tolérance temporelle d'émission ô (È étant calée à la date t1 à la réception du premier message M1. Selon des modes particuliers de réalisation, le procédé selon l'invention peut comprendre l'une ou plusieurs des caractéristiques suivantes prises isolément ou selon toutes les combinaisons techniquement possibles: 1 5 lors de la séquence d'initialisation a), d'une part un message d'initialisation Mo codé est envoyé depuis la plate-forme émettrice vers la plate-forme réceptrice, et d'autre part un message d'initialisation M'0 codé est envoyé depuis la plate-forme réceptrice vers la plate-forme émettrice, ces messages d'initialisation Mo, M'o contenant l'information relative à la date t, d'envoi du premier message 20 d'information MI, les dits messages d'initialisation Mo, M'o étant décodés par les platesformes émettrice et réceptrice qui connaissent alors de la date d'envoi t1 du premier message d'information M1; - en cas de non-réception du premier message MI dans un temps alloué après la réception du message d'initialisation, l'horloge de la plate-forme émettrice est 25 automatiquement calée à la date t, à l'instant correspondant à la fin du temps alloué; - la fenêtre d'observation Fn correspond à une fenêtre de temps [tl+(n-l)*ATEATF*s, tî+(n-l)*ATE+ATF*(1-E)], o n est un nombre entier et ATF correspond à la largeur de la fenêtre d'observation et répond à la relation ATF voie associé à l'installation fixe. On comprendra mieux les buts, aspects et avantages de la présente invention, d'après 20 la description donnée ci-après d'un mode particulier de réalisation de l'invention, présenté à titre d'exemple non limitatif, en se référant aux dessins annexés, dans lesquels: - la figure 1 est représentation partielle et schématique d'une installation de supervision de trains équipée d'un procédé d'échange sécuritaire de message 25 d'information selon l'invention. - la figure 2 est un organigramme représentant les principales étapes du procédé d'émission mis en oeuvre par la plate-forme émettrice conformément au procédé d'échange sécuritaire selon l'invention. - la figure 3 est un organigramme représentant les principales étapes du procédé de 30 traitement mis en oeuvre par la plate-forme réceptrice conformément au procédé d'échange sécuritaire selon l'invention. - la figure 4 illustre sur une échelle temporelle, l'émission de messages d'information depuis une plate-forme émettrice et la réception des messages sur une plate-forme réceptrice et leur traitement conformément au procédé d'échange sécuritaire selon l'invention. Pour faciliter la lecture du dessin, seuls les éléments nécessaires à la compréhension de l'invention ont été représentés. Les mêmes éléments portent les mêmes références d'une figure à l'autre. La figure 1 représente schématiquement un poste de commande centralisé I communiquant des messages d'information à des installations fixes 2 disposées en 10 bordure d'un canton de voie ferrée, ces messages comportant des informations relatives aux conditions de circulation sur un ou plusieurs cantons de voie situés en aval de l'installation fixe 2. Ces messages sont ensuite transmis depuis les installations fixes 2 vers un train 5 de manière connue par un circuit de voie, le train 5 comportant un équipement de commande 6 utilisant ces messages l 5 d'information pour déterminer notamment la marche à suivre, telle que la vitesse à adopter ou la nécessité de déclencher un arrêt d'urgence. Pour effectuer la transmission des messages d'information, le poste de commande centralisé 1 comporte une plate-forme émettrice 10 reliée par des câbles de transmission 4 à une plate-forme réceptrice 20 disposée dans l'installation fixe 2. 20 Chaque plate-forme émettrice 10 et réceptrice 20 comporte une horloge interne. La séquence d'émission des messages d'information par la plate-forme émettrice 10 dans le procédé d'échange sécurisé selon l'invention va maintenant être décrite en relation avec la figure 2. Conformément à cette figure, dans une première étape 101 du procédé d'échange 25 sécuritaire, une séquence d'initialisation est effectuée au cours de laquelle un message d'initialisation Mo codé est transmis du poste de la plate-forme émettrice 10 à la plate-forme réceptrice 20. Ce message Mo contient une partie de l'information de la date initiale du premier message d'information, générée par la plate-forme émettrice, par exemple un nombre aléatoire. Dans une deuxième étape 102, la plate- forme émettrice reçoit le message M'0 qui est émis par la plate-forme réceptrice. Ce message M'O contient une partie de l'information de la date initiale du premier message d'information, générée par la plate- forme réceptrice, par exemple un nombre aléatoire. Ces messages Mo, M'O sont décodés, dans une étape 103 par la plate-forme 5 émettrice 10 pour générer la date initiale du premier message. Eventuellement une partie implicite complète cette date initiale. La sécurité de transmission de la séquence d'initialisation est assurée classiquement par un échange bidirectionnel permettant de s'assurer de la bonne corrélation entre le message reçu et le message envoyé. 1 0 La séquence d'initialisation précédemment décrite est suivie d'une étape 104 du procédé dans laquelle aucun message n'est envoyé par la plate-forme émettrice 10 jusqu'à ce que le temps te de l'horloge interne de la plate-forme émettrice 1 0 atteigne la date ti prévue pour l'envoi du premier message MI. A la date tl, la plate-forme émettrice 10 envoie le premier message MI, des messages étant ensuite envoyés à l 5 intervalle de temps ATE constant de sorte que le nième message Mn est envoyé à la date tf=tl+(n-l)*ATE+6, n étant un nombre entier, 6 est la tolérance temporelle d'émission (6 Selon une caractéristique de l'invention, chaque message Mn envoyé est codé avec un code dynamique CQ propre à la date d'envoi t, du message. Ce code dynamique C, est 20 du type choisi parmi les codes dynamiques connus qui possèdent des propriétés de codage telles que le décodage du message Mn avec une séquence de décodage autre que la séquence de décodage DC, prévue pour décoder le code Cn conduit à l'obtention d'un message incompréhensible grâce au codage défini au niveau de l'application. A titre d'exemple, le codage choisi est une surimposition d'une 25 séquence pseudo-aléatoire basée sur le polynôme primitif X32 + X22 + x2 + X + 1 appliquée à chacun des bits des données. Le traitement effectué parallèlement par la plate-forme réceptrice 20, lors de la séquence de transmission des messages d'information par la plate-forme émettrice 10, va maintenant être décrit en relation avec la figure 3. Conformément à la figure 3, la plate-forme réceptrice 20 reçoit, dans une première étape 201 du procédé, le message Mo contenu dans la séquence d'initialisation émise par la plate-forme émettrice lors de l'étape 101. Dans une deuxième étape 202, la plate-forme réceptrice 20 émet le message M'o qui est reçu par la plate-forme 5 émettrice lors de l'étape 102. Dans une étape 203, ces messages Mo, M'o sont décodés par la plate-forme réceptrice 20, pour obtenir la date initiale tl du premier message MI, comme dans l'étape 103 pour la plate-forme émettrice. Dans une étape 204 suivante du procédé déclenchée lorsque la plate-forme réceptrice 20 reçoit le premier message MI, l'horloge interne de la plateforme 1 0 réceptrice 20 est calée sur la date t, de sorte que tr-=tl à l'instant de réception de ce premier message MI, o tr est le temps sur l'horloge interne de la plate-forme réceptrice 20. L'horloge interne de la plate-forme réceptrice 20 est également calée par défaut sur la date tI, si le premier message MI ne parvient pas à la plate-forme réceptrice 20 dans un temps alloué après la réception du message d'initialisation Mo. l 5 De manière préférentielle, après la réception du message tî, l'horloge de la plateforme réceptrice 20 est synchronisée régulièrement sur l'horloge de la plate-forme émettrice 10 à partir de trames de synchronisation d'horloge émises régulièrement par la plate-forme émettrice 10 au même cycle que les messages Mn. Ces trames sont soit spécifiques ou constituées des messages Mn eux mêmes. Ainsi, lorsqu'un écart de 20 synchronisation (phase, fréquence, moyenne, moindres carrés... ) est mesuré entre l'horloge interne de la plate-forme émettrice 10 et l'horloge interne de la plate-forme réceptrice 20, une correction de la fréquence ou de la phase de l'horloge interne de la plate-forme réceptrice 20 est réalisée dynamiquement de sorte de réduire l'écart de phase ou de fréquence entre les deux horloges. Au cours de l'étape suivante 205 du procédé, le premier message MI reçu est décodé au moyen d'une séquence de décodage DC1 adaptée pour décoder le code dynamique CI et le résultat du message MI décodé est transmis par la plate-forme réceptrice 20 au circuit de voie. L'étape 206 suivante du procédé est déclenchée de manière itérative lorsque la plateforme réceptrice 20 reçoit un nouveau message M?, à priori le message Mn, à un instant tr compris dans une fenêtre d'observation temporelle F, correspond à une fenêtre de temps [tI+(n-1) *ATE - ATF*E, tl+(n-1)*ATE + ATF*(1-E)], o ATF est la 5 largeur de la fenêtre d'observation, n est un nombre entier et ú est compris entre 0 et 1. Au cours de l'étape 207 suivante du procédé, le message M? reçu dans une fenêtre d'observation F, de la plate-forme émettrice 20 est décodé au moyen d'une séquence de décodage DC, affectée à cette fenêtre d'observation Fn et correspondant à la 10 séquence codage inverse DC, adaptée pour décoder uniquement le code dynamique Cn du nième message émis par la plate-forme émettrice 10. Dans un mode de réalisation préférentiel de l'invention, le message M? décodé par la plate-forme réceptrice 20 est alors, dans une étape non représentée sur la figure 3, stocké temporairement dans une mémoire possédant une capacité permettant de ne 1 5 stocker qu'un seul message à la fois, avant d'être envoyé au circuit de voie à l'instant tr correspondant à la fin de la fenêtre d'observation F, Dans une variante simplifiée, le message M? peut également être transmis au circuit de voie dès la fin de l'étape 207, sans être stocké dans une mémoire. Le train 5 se trouvant sur le canton de voie reçoit alors, par l'intermédiaire du circuit 20 de voie, les messages décodés par la plateforme réceptrice 20 avec l'assurance que les messages M? reçus devenus compréhensibles grâce au décodage défini au niveau de l'application sont des messages Mn correctement actualisés, dont il faut prendre en compte les informations. Par ailleurs, pour assurer la sécurité de la circulation des trains sur la voie, il est prévu que l'équipement de commande 6 à bord du train 5 25 déclenche un arrêt d'urgence lorsque le train 5 reçoit successivement plusieurs messages incompréhensibles, par exemple cinq messages de suite, de sorte que le train s'arrête lorsqu'il n'est plus suffisamment renseigné sur les conditions de circulation du canton de voie en aval. La figure 4 illustre, à titre d'exemple, une séquence d'échange de messages d'information conformément au procédé selon l'invention. Sur cette figure, l'émission des messages MI à M6 est représentée sur l'axe supérieur te, cet axe correspondant à l'écoulement du temps sur l'horloge interne de la plate-forme émettrice 10, et la 5 réception des messages est représentée sur l'axe tr correspondant à l'écoulement du temps sur l'horloge de la plate-forme réceptrice 20. On considérera pour l'exemple décrit à la figure 4 que la séquence d'initialisation, non représentée sur la figure, est initiée à l'instant t,=4h59mn et que la date ti d'envoi du premier message est t1=5h. L'intervalle ATE est de l'ordre de quelques millisecondes, par exemple ATE=50 ms, 10 de sorte que la mise à jour des messages d'information soit régulière. Dans l'exemple représenté, la tolérance temporelle d'émission ô est nulle et les fenêtres d'observation F, présentent les caractéristiques E=0,5 et ATF=25ms. Ainsi, en se reportant à la figure 4 et notamment à la réception des messages sur l'axe inférieur tr représentant l'écoulement du temps au niveau de l'horloge de la plate15 forme réceptrice 20, quelques instants après l'émission du message MI la plate-forme réceptrice 20 reçoit le premier message MI. La plate-forme réceptrice 20 procède alors au calage de son horloge interne de sorte que tr=tl à l'instant de réception du message MI. Le message MI est ensuite décodé par la plate-forme réceptrice au moyen de la séquence de décodage DC1 puis est transmis au circuit de voie et donc à 20 un éventuel train 5 présent sur le canton de voie. Quelques instants plus tard, la plate-forme réceptrice 20 reçoit le message M2 dans la fenêtre d'observation F2 centrée sur t2 et de largeur ATF. La plate-forme réceptrice 20 procède alors au décodage du message M2 avec la séquence de décodage DC2. Ce message décodé est stocké dans une mémoire de la plate-forme réceptrice possédant 25 une capacité permettant de ne stocker qu'un seul message à la fois puis est transmis au circuit de voie à l'instant tr correspondant à la fin de la fenêtre d'observation F2 soit tr =t2+ATF/2. L'équipement de commande 6 du train 5 se trouvant sur le canton de voie est alors renseigné par le message M2 sur les conditions de circulation. Au cours de la fenêtre d'observation F3, aucun message n'est reçu par la plate-forme 30 réceptrice 20, suite à des perturbations dans la transmission du message M3 Dans ce cas, le message transmis par la plateforme réceptrice 20 au circuit de voie à l'instant tr correspondant à la fin de la fenêtre d'observation F3, est incompréhensible grâce au codage de l'application, de sorte que l'équipement de commande 6 du train 5 se trouvant sur le canton de voie soit renseigné sur ce défaut d'actualisation des messages d'information. Le message M3 étant finalement reçu dans la fenêtre d'observation F4, ce message M3 est alors décodé avec la séquence de décodage DC4 affecté à la fenêtre F4 ce qui conduit à l'obtention d'un message décodé incompréhensible grâce au codage de l'application qui est stocké dans la mémoire de la plate-forme réceptrice 20. Ce 1i0 message incompréhensible est transmis au circuit de voie à l'instant tr correspondant à la fin de la fenêtre d'observation F4 et l'équipement de commande 6 du train 5 reçoit ce message incompréhensible qu'il interprète comme un nouveau défaut d'actualisation des messages d'information. L'équipement de commande 6 comptabilise alors deux défauts successifs d'actualisation des messages d'information 15 mais ne provoque pas encore d'arrêt d'urgence du train si la tolérance permise est de cinq défauts successifs. Au cours de la fenêtre d'observation F5, deux messages M4 et M5 sont successivement reçus par la plate-forme réceptrice 20. Dans un premier temps la plate-forme réceptrice 20 reçoit le message M4 puis le message M5 dans la même 20 fenêtre d'observation F5. La plate-forme réceptrice procède au décodage de ce dernier message M5, au moyen de la séquence de décodage DC5 aboutissant à l'obtention d'un message décodé à nouveau compréhensible grâce au codage de l'application, qui est stocké dans la mémoire de la plate-forme réceptrice 20 à la place du précédent message. Ce message M5 est transmis au circuit de voie à l'instant tr correspondant à 25 la fin de la fenêtre d'observation F5. L'équipement de commande 6 du train 5 reçoit alors un message compréhensible grâce au codage de l'application, le message M5 avec l'assurance que les informations contenues dans ce message sont des informations correctement actualisées. Au cours de la fenêtre d'observation F6, la plate-forme réceptrice 20 reçoit le 30 message M6 qui est décodé par la séquence de décodage DC6 puis stocké dans la mémoire avant d'être envoyé au circuit à l'instant tr correspondant à la fin de la fenêtre F6. L'équipement de commande 6 du train 5 reçoit alors un message compréhensible grâce au codage de l'application, le message M6 avec l'assurance que les informations contenues dans ce message sont des informations actualisées. Ainsi, un tel procédé de transmission d'échange sécuritaire de messages d'information permet, par un échange régulier unidirectionnel de messages entre une plate-forme émettrice et une plate-forme réceptrice, de garantir la bonne actualisation des messages d'information qui parviennent de façon compréhensible au destinataire et ceci sans faire appel à des moyens de traitement complexes. Un tel procédé 10 présente l'avantage d'être peu coteux à mettre en oeuvre et de permettre une grande vitesse de transmission des informations à l'inverse des systèmes de transmission bidirectionnels habituels dans lequel la séquence de vérification de l'information ralentie considérablement la transmission des messages et donc leur prise en compte. Le procédé selon l'invention permet donc d'avoir une grande cadence de 15 rafraîchissement des messages d'information reçu par le train. Bien entendu, l'invention n'est nullement limitée au mode de réalisation décrit et illustré qui n'a été donné qu'à titre d'exemple. Des modifications restent possibles, notamment du point de vue de la constitution des divers éléments ou par substitution d'équivalents techniques, sans sortir pour autant du domaine de protection de 20 l'invention. REVENDICATIONS 1) Procédé d'échange sécuritaire de messages d'information envoyés successivement d'une plate-forme émettrice (10) vers une plate-forme réceptrice (20), caractérisé en ce qu'il comporte: a) une séquence d'initialisation dans laquelle au moins un message d'initialisation contenant l'information relative à la date ti d'envoi du premier message d'information Ml est échangé entre la plate-forme émettrice (10) et la plate-forme réceptrice (20) de sorte que les dites plates-formes émettrice (10) et réceptrice (20) connaissent alors la date d'envoi t, du premier 10 message d'information M1. b) une séquence de transmission des messages d'information dans laquelle: - les messages d'information sont envoyés successivement par la plateforme émettrice (10) à intervalles de temps ATE donnés avec une tolérance temporelle d'émission 8, en se basant sur une horloge propre à la plate1 5 forme émettrice (10), de sorte que le premier message M1 est émis à la date t, de la dite horloge et le nième message Mn est envoyé à la date t,, =tl+(n1).ATE+b, chaque message Mn étant codé au moyen d'un code dynamique C, propre à la date t d'envoi du dit message; - les messages reçus par la plate-forme réceptrice (20) sont traités en 20 fonction de leur date de réception tr en se basant sur une horloge propre à la plate-forme réceptrice (20) de sorte que les messages reçus dans une fenêtre d'observation Fn au voisinage de tn sont décodés avec une séquence de décodage DCQ adaptée pour décoder le code dynamique Cn, la dite horloge de la plate-forme réceptrice (20) étant calée à la date t, à la réception du 25 premier message Mi. 2) Procédé d'échange sécuritaire de messages d'information selon la revendication 1, caractérisé en ce que lors de la séquence d'initialisation a), d'une part un message d'initialisation M0 codé est envoyé depuis la plate-forme émettrice (10) vers la plate-forme réceptrice (20), et d'autre part un message d'initialisation M'0 codé 30 est envoyé depuis la plate-forme réceptrice (20) vers la plate-forme émettrice (10), ces messages d'initialisation M0, M'0 contenant l'information relative à la date th d'envoi du premier message d'information MI, les dits messages d'initialisation M0, M'0 étant décodés par les plates-formes émettrice (10) et réceptrice (20) qui connaissent alors de la date d'envoi tl du premier message d'information M1. 3) Procédé d'échange sécuritaire de messages d'information selon l'une quelconque des revendications 1 à 2, caractérisé en ce qu'en cas de non-réception du premier message M1 dans un temps alloué après la réception du message d'initialisation, l'horloge de la plate-forme émettrice (20) est automatiquement calée à la date th à 10 l'instant correspondant à la fin du temps alloué. 4) Procédé d'échange sécuritaire de messages d'information selon l'une quelconque des revendications 1 à 3, caractérisé en ce que la dite fenêtre d'observation F1,, correspond à une fenêtre de temps [tl+(n-1)*ATE-ATF*E, tl+(n-l)*ATIî+AT/T*(1s)], O ATF correspond à la largeur de la fenêtre d'observation et répond à la 15 relation ATF ) Procédé d'échange sécuritaire de messages d'information selon l'une quelconque des revendications 1 à 4, caractérisé en ce qu'un signal de synchronisation d'horloge est émis régulièrement par la plate-forme émettrice (10), entre l'émission des messages Mn, ce signal de synchronisation étant utilisé pour 20 corriger dynamiquement la fréquence ou la phase de l'horloge interne de la plateforme réceptrice (20) afin de réduire l'écart de phase ou de fréquence entre les horloges internes des plates-formes réceptrice (20) et émettrice (10). 6) Procédé d'échange sécuritaire de messages d'information selon l'une quelconque des revendications 1 à 5, caractérisé en ce que les messages d'information 25 décodés par la plate forme réceptrice (20) sont transmis à un module de traitement de l'information (6). 7) Procédé d'échange sécuritaire de message d'information selon l'une quelconque des revendications 1 à 6, caractérisé en ce que les messages reçus par la plateforme réceptrice (20) au cours d'une fenêtre d'observation Fn sont stockés de façon séquentielle dans une mémoire ne pouvant stocker qu'un seul message à la fois et en ce que seul le message stocké dans cette mémoire à la fin de la dite fenêtre d'observation F, est transmis au module de traitement de l'information (6). 8) Procédé d'échange sécuritaire de message d'information selon l'une quelconque 5 des revendications 1 à 7, caractérisé en ce que la plateforme émettrice (10) appartient à un poste de commande centralisé (1) d'un système de supervision et de conduite du trafic ferroviaire et la plate-forme réceptrice (20) appartient à une installation fixe (2) disposée en bordure d'une voie ferrée et en ce que le dit module de traitement de l'information (6) est constitué d'un équipement de 10 commande disposé à bord d'un train (5) circulant sur un canton de voie associé à la dite installation fixe (2).