Brevet FR2916318A3 — publié le 20081121

FR 2916318 A3 20081121 FR 0853125 A 20080514 B 08-1755 FR Société dite : ABB Technology AG Dispositif pare-feu entre deux réseaux de communication informatiques d'un système de transport d'électricité à haute tension Invention de : BJORKLUND Hans NYBERG Krister Priorité d'une demande de brevet déposée aux Etats-Unis d'Amérique le 14 mai 2007 sous le n 60/924.416. Dispositif pare-feu entre deux réseaux de communication informatiques d'un système de transport d'électricité à haute tension La présente invention concerne globalement le domaine des systèmes de transport d'électricité à haute tension. La présente invention porte en particulier sur un dispositif pare-feu à connecter dans un tel système de transport d'électricité à haute tension. Le rapide développement dans le domaine des ordinateurs industriels rend ces ordinateurs très adaptés à la commande et la protection d'éléments dans des systèmes de transport d'électricité à haute tension tels que des réseaux CCHT. En utilisant des systèmes d'exploitation courants tels que Windows de Microsoft , les ordinateurs de commande et de protection peuvent aussi utiliser des programmes conventionnels du type Office . Cela offre l'avantage de doter aussi d'interfaces bien connues les ordinateurs de commande et de protection. Toutefois, cela entraîne aussi que ces ordinateurs de commande et de protection seront confrontés aux mêmes types de problèmes de sécurité que ceux couramment rencontrés dans un environnement de bureau/domicile, tels que la diffusion de divers types de virus informatiques, divers types d'attaques de pirates informatiques et différents types de tempêtes de diffusion et de surcharges de réseau local. Les ordinateurs de commande et de protection sont directement impliqués dans la commande et la protection de systèmes de transport d'électricité à haute tension, et toute attaque de sécurité sur eux peut donc mettre en danger le fonctionnement du système global. Il est courant de connecter les ordinateurs de protection et de commande, qui sont prévus à un niveau commande et protection, à d'autres ordinateurs, tels que des ordinateurs prévus à un niveau commande par opérateur. Un exemple de cela est décrit dans "WIN-TDC The State-of-the-Art Control and Protection System for HVDC Applications" de B. Nicol et coll., Transmission and Distribution Conférence and Exhibition, Asia et Pacifie, 2005 IEEE/PES, 2005, pages 1-5. Dans ce système, il existe des ordinateurs connectés à deux réseaux locaux redondants à un niveau Commande par Opérateur et à un niveau Commande & Protection. Toutefois, dans ce système, les ordinateurs du niveau Commande et Protection sont directement connectés aux ordinateurs du niveau Commande par Opérateur, ce qui signifie que toute attaque que subissent les ordinateurs du niveau Commande par Opérateur peut s'étendre aux ordinateurs du niveau Commande et Protection. Il existe donc un besoin d'un dispositif pare-feu. Les pare-feu traditionnels sont programmés pour bloquer le trafic sur différents ports et vers différents ordinateurs. Un pare-feu traditionnel dans un environnement de commande de processus est décrit dans "Trends in Process Control Systems Security" de A. Miller, IEEE Security and Privacy Magazine, volume 3, n 5, septembre-octobre l0 2005, pages 57-60. Ce document décrit un système de commande de processus dans lequel un pare-feu est prévu entre un réseau de gestion de fabrication et un réseau d'entreprise. Dans ce système, le réseau de fabrication comprend un réseau local Ethernet de commande et des réseaux de commande. Il n'existe pas de pare-feu entre les réseaux de commande, dans lesquels les ordinateurs de commande et de protection 15 seraient prévus, et les réseaux Ethernet de commande, ce qui signifie que toute attaque que pourraient subir les ordinateurs sur le réseau local Ethernet peut facilement s'étendre aussi aux ordinateurs sur le réseau de commande s'ils utilisent tous des systèmes d'exploitation courants. Les pare-feu traditionnels n'apportent en outre aucune aide réelle pour protéger 20 des ordinateurs de commande et de protection dans un système de transport d'électricité à haute tension. Ces ordinateurs peuvent seulement être configurés pour communiquer entre eux et avec d'autres ordinateurs connus au niveau commande par opérateur sur des ports dédiés. Cela signifie que ces ordinateurs ou ports peuvent être les seuls qui seraient bloqués. Toute attaque sur un ordinateur de commande ou de protection serait 25 donc effectuée via un tel ordinateur connu, par exemple via un ordinateur connu au niveau commande par opérateur. Toutefois, si un tel blocage est effectué, les ordinateurs de commande et de protection peuvent ne pas être capables d'agir sur des instructions ou d'acheminer des données qui peuvent être importantes pour le système global. Il existe donc un besoin d'un dispositif pare-feu amélioré. Le document WO 2007/033392 décrit un système de sécurité prévu pour la protection contre des attaques préjudiciables sur un réseau interne, lequel réseau interne comprend un poste de travail. Le système de sécurité comprend un convertisseur interne qui est connecté à un convertisseur externe par l'intermédiaire d'un processeur tampon. Le poste de travail comprend un navigateur Web, pour lequel le système de sécurité est défini comme serveur mandataire. Une page HTML reçue par le convertisseur externe est convertie par ce dernier en une image numérique, qui est ensuite testée dans le processeur tampon dans un but de sécurité, par exemple quant à l'exactitude de l'image ou l'inclusion d'une page interdite. L'image est ensuite convertie en une page Web par le convertisseur interne, laquelle page est présentée à un utilisateur du poste de travail. De cette manière, l'utilisateur reçoit la page HTML sous la forme d'informations d'image et aucun virus ou script ne peut donc attaquer le réseau interne. Le document mentionne aussi que le téléchargement de documents depuis l'Internet peut être géré d'une manière similaire, et que ces documents peuvent être stockés dans le réseau interne sous leur forme originale ou sous un format de données défini tel que PDF après avoir été testés quant à leur exactitude et leur contenu. Le document mentionne aussi que le système de sécurité peut être utilisé sur un système de bus pour la commande de processus. Toutefois, cette technique de conversion semble dépendre du besoin qu'un utilisateur dans l'environnement protégé a de télécharger une page Web ou un document via une page Web. Cela est rarement le cas dans des ordinateurs industriels de commande et de protection. S'il était appliqué à un système de transport d'électricité à haute tension, ce type de système de sécurité serait donc prévu pour un niveau commande par opérateur et non pour un niveau commande et protection. En considération de la description qui précède, il existe donc un besoin d'un dispositif pare-feu amélioré pour accroître la sécurité d'ordinateurs de protection et de commande d'un système de transport d'électricité à haute tension. Un objectif de la présente invention est de proposer un dispositif pare-feu à connecter dans un système de transport d'électricité à haute tension, qui accroît la sécurité d'ordinateurs de protection et de commande. Cet objectif est atteint, selon la présente invention, par un dispositif pare-feu à connecter dans un système de transport d'électricité à haute tension entre un premier groupe d'ordinateurs incluant des ordinateurs de protection et de commande et un deuxième groupe d'ordinateurs polyvalents, les ordinateurs du premier groupe étant interconnectés par un premier réseau de communication informatique ayant un premier format de données et les ordinateurs du deuxième groupe étant interconnectés par un deuxième réseau de communication informatique ayant au moins un deuxième format de données, dans lequel le dispositif pare- feu comprend un moyen pour décoder et convertir d'un format à l'autre des données contenues dans du trafic de données, et un moyen pour déterminer quelles données dans ce trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques. Le moyen de détermination peut déterminer si des données dans ce trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques d'après le contenu du trafic. Le dispositif pare-feu peut comprendre en outre un moyen pour journaliser au moins du trafic de données non autorisées et un moyen pour interdire que ce trafic de données non autorisées ne soit renvoyé par l'un des réseaux de communication informatiques. Le moyen de journalisation peut journaliser toutes les données passant par le dispositif pare-feu. Le dispositif pare-feu peut comprendre en outre un moyen pour ajuster la charge sur le premier réseau de communication informatique, et/ou un moyen pour distribuer des données de temps sur le premier réseau de communication informatique. Le trafic de données envoyé depuis les ordinateurs du premier et/ou du deuxième groupe peut être crypté. Le dispositif pare-feu peut être connecté dans un système de transport d'électricité en courant continu, qui peut fonctionner à des tensions voisines de 800 kV. Les ordinateurs du premier groupe d'ordinateurs peuvent être des ordinateurs industriels de protection et de commande en temps réel. La présente invention offre un certain nombre d'avantages. Elle assure la sécurité en examinant les données réelles contenues dans le trafic de données et non en examinant la connexion, typiquement les ordinateurs ou ports utilisés. Elle offre donc une plus grande sécurité dans un dispositif pare-feu que des pare-feu conventionnels. En outre, les réglages du dispositif pare-feu ne peuvent pas être modifiés "par inadvertance", mais ne peuvent être modifiés que par reprogrammation. La présente invention sera décrite dans ce qui suit à propos des dessins annexés, dans lesquels: la figure 1 représente schématiquement un système de transport d'électricité incluant des convertisseurs, et la figure 2 représente schématiquement un premier réseau de communication informatique incluant un premier groupe d'ordinateurs et un deuxième réseau de communication informatique incluant un deuxième groupe d'ordinateurs, ainsi qu'un dispositif pare-feu de la présente invention. Une description détaillée de formes de réalisation préférées d'un dispositif selon la présente invention va être donnée dans ce qui suit. La figure 1 représente schématiquement un système de transport d'électricité à haute tension 10. Dans l'exemple présenté sur la figure 1, le système de transport d'électricité est un système de transport d'électricité CCHT (en courant continu à haute tension). On comprendra que la présente invention n'est pas limitée à un tel système, mais peut être utilisée dans d'autres types de systèmes de transport d'électricité à haute tension, tels que par exemple FACTS (système flexible de transmission en courant alternatif). Sur la figure est représentée une première ligne de courant alternatif (CA) 12, qui dans ce cas est une ligne électrique triphasée, qui mène à un premier transformateur 14. Le premier transformateur 14 est connecté à un premier convertisseur 16, qui convertit la tension alternative en une tension continue. Ce premier convertisseur 16 est lui-même connecté à une première ligne de courant continu (CC) 20, qui mène elle-même à un deuxième convertisseur 24, qui est un convertisseur de courant continu en courant alternatif (CC-CA). Le deuxième convertisseur 24 est lui-même connecté à un deuxième transformateur 28. Le deuxième transformateur est lui-même connecté à une deuxième ligne CA 30, qui dans ce cas est aussi une ligne électrique triphasée. Les premier et deuxième convertisseurs 16 et 24 sont en outre reliés à la masse et sont aussi respectivement connectés, au niveau de ces mises à la masse, à des troisième et quatrième convertisseurs 18 et 26 correspondants, qui sont eux-mêmes connectés à une deuxième ligne CC 22. Dans ce cas, le troisième convertisseur 18 est du même type que le premier convertisseur 16, tandis que le quatrième convertisseur 26 est du même type que le deuxième convertisseur 24. Dans le système de la figure 1, les lignes CC 20 et 22 peuvent former une liaison CC ayant une longueur d'au moins plusieurs kilomètres afin d'être utilisées pour transporter de l'électricité avec de faibles pertes sur une distance considérable. Toutefois, il est aussi possible d'utiliser la même configuration pour interconnecter deux lignes CA, par exemple à des fréquences différentes, à un seul et même endroit. Le système représenté sur la figure 1 est un système dit bipolaire, dans lequel la première ligne CC 20 est portée à un premier potentiel positif et la deuxième ligne CC 22 est portée à un deuxième potentiel négatif opposé. Cela signifie qu'il existe un trajet de courant aller assuré par la première ligne CC 20 et un trajet de courant retour assuré par la deuxième ligne CC 22. On comprendra toutefois qu'il est possible de constituer à la place un système monopolaire en supprimant le trajet retour assuré par la deuxième ligne CC 22 et en supprimant les troisième et quatrième convertisseurs 18 et 26. Dans un système monopolaire, les premier et deuxième convertisseurs 16 et 24 ne seraient alors connectés qu'entre la première ligne CC et la masse. Dans ce cas, un trajet retour peut être assuré par la masse. La conception et le fonctionnement des convertisseurs décrits plus haut sont bien connus et ne font pas partie de la présente invention. Toutefois, ces convertisseurs doivent être commandés. Ils doivent aussi être protégés. Des ordinateurs de commande et de protection spécialisés remplissent normalement ces fonctions de commande et de protection. Ils sont normalement prévus à un niveau commande et protection. Un système tel que le système mentionné plus haut doit en outre être surveillé par du personnel. Pour cette raison et pour d'autres raisons, par exemple pour offrir la possibilité de mises à jour logicielles des ordinateurs de commande et de protection et pour stocker diverses données concernant le fonctionnement du système, des ordinateurs polyvalents peuvent être prévus pour ces activités, qui peuvent être prévus à un niveau commande par opérateur. Le niveau commande par opérateur est aussi parfois appelé niveau commande et surveillance par postes (SCM). La figure 2 représente schématiquement des ordinateurs à ce niveau commande par opérateur, connectés à des ordinateurs à un niveau commande et protection par l'intermédiaire d'un dispositif pare-feu selon la présente invention. Plus précisément, la figure 2 représente un ordinateur de commande (OC) 34 et un ordinateur de protection (OP) 36 connectés à un élément du système pour remplir ces fonctions de commande et de protection. Dans ce cas, cet élément est le premier convertisseur 16. L'ordinateur de commande 34 et l'ordinateur de protection 36 sont des ordinateurs industriels de commande et de protection en temps réel qui sont inclus dans un premier groupe d'ordinateurs. Les ordinateurs de ce premier groupe sont interconnectés par un premier réseau de communication de données 38, qui dans ce cas est un réseau local. Dans la présente, le réseau local peut être un réseau local IEEE 802.3 et est aussi appelé réseau local système. Dans la présente, ce premier réseau de communication de données 38 utilise un premier format de données, qui peut être un protocole propriétaire, qui peut être basé sur IP ou basé sur des trames Ethernet. On comprendra aussi que ce niveau commande et protection est fortement simplifié et que de nombreux autres ordinateurs pourraient être inclus, par exemple à différents niveaux hiérarchiques et aussi en utilisant de la redondance. De plus, on comprendra qu'il peut exister aussi de la redondance relative au premier réseau de communication informatique 38, c'est-à-dire qu'un autre réseau de communication informatique peut être prévu en parallèle. On comprendra en outre que l'élément commandé et protégé est représenté d'une manière simplifiée. Cette commande et cette protection peuvent englober plusieurs activités telles que la commande de vannes de courant et de disjoncteurs. Il peut en outre exister un plus grand nombre de convertisseurs commandés ainsi que d'autres éléments commandés et protégés. Le premier réseau de communication informatique 38 incluant les ordinateurs de commande et de protection 34 et 36 du premier groupe est connecté à un deuxième réseau de communication informatique 48 par l'intermédiaire d'un dispositif parefeu (PF) 32 selon la présente invention. Dans la présente, le deuxième réseau de communication informatique 48, qui est prévu au niveau commande par opérateur, interconnecte un deuxième groupe d'ordinateurs polyvalents. Dans la présente, ce deuxième groupe comprend un serveur (S) 40 qui peut être un serveur de base de données pour des enregistreurs d'événements et des systèmes d'alarme, un premier poste de travail d'opérateur (PTO) 42, un deuxième poste de travail d'opérateur (PTO) 44 ainsi qu'une passerelle (P) 46, qui peut être un convertisseur de protocole et ordinateur de communication pour une communication à répartition. Un poste de travail d'opérateur est souvent aussi appelé IHM (interface homme machine) et peut être basé sur un système d'exploitation courant tel que le système d'exploitation Windows . Le deuxième réseau de communication informatique 48 peut, exactement comme le premier réseau de communication informatique, être un réseau local IEEE 802.3 et est aussi appelé réseau local IHM dans la présente. Dans la présente, ce deuxième réseau de communication informatique 48 utilise au moins un deuxième format de données, qui peut être par exemple ODBC relativement au serveur 46, ou par exemple OPC relativement aux postes de travail d'opérateur 42 et 44. Il peut aussi s'agir d'un format de données conforme à un protocole tel que IEC 61850-8. En outre, ce deuxième format de données doit être suffisamment différent du premier format de données pour assurer que des données ne puissent pas être mal interprétées dans le cas où les premier et deuxième réseaux de communication informatiques seraient directement connectés l'un à l'autre par inadvertance. Ces formats sont donc des formats de communication de données différents. Comme indiqué plus haut, il est avantageux d'utiliser des systèmes d'exploitation courants tels que Windows de Microsoft dans le deuxième groupe d'ordinateurs. Dans de nombreux cas, il est avantageux d'utiliser aussi ces systèmes d'exploitation dans le premier groupe d'ordinateurs. Cela offre l'avantage de doter aussi d'interfaces bien connues les ordinateurs de commande et de protection. Toutefois, l'utilisation de tels systèmes d'exploitation courants entraîne aussi que 30 ces ordinateurs de commande et de protection sont confrontés aux mêmes types de problèmes de sécurité que ceux couramment rencontrés dans un environnement de bureau/domicile, tels que la diffusion de divers types de virus informatiques, divers types d'attaques de pirates informatiques et différents types de tempêtes de diffusion et de surcharges de réseau local. Ces risques de sécurité peuvent alors atteindre le niveau commande et protection en passant par le niveau commande par opérateur et par exemple par les postes de travail d'opérateur, qui peuvent communiquer avec des ordinateurs externes via la passerelle. Comme les ordinateurs de protection et de commande sont directement impliqués dans la commande du système de transport d'électricité à haute tension, toute attaque de sécurité sur eux peut mettre en danger le fonctionnement du système global. Pour cette raison, selon la présente invention, un dispositif pare-feu (PF) 32 est prévu entre le premier réseau de communication informatique 38 et le deuxième réseau de communication informatique 48. Le dispositif pare-feu 32, qui est prévu sous la forme d'au moins un ordinateur, est programmé pour décoder tout le trafic de données qui est envoyé dans l'un des réseaux de communication informatiques et est destiné à l'autre réseau de communication informatique, par exemple en provenance du deuxième réseau de communication informatique 48 et à destination du premier réseau de communication informatique 38 mais aussi en provenance du premier réseau de communication informatique 38 et à destination du deuxième réseau de communication informatique 48. Le dispositif pare-feu 32 est en outre programmé pour convertir d'un format à l'autre les données du trafic de données, c'est-à-dire le contenu de messages. Cela signifie qu'il convertit en un deuxième format les données contenues dans du trafic de données envoyé sous le premier format par le premier réseau de communication informatique 38 et réachemine ces données converties vers le deuxième réseau de communication informatique 48 sous la forme de trafic de données. Si les données sont par exemple une valeur de mesure présentée sous le premier format de données, alors celle-ci est convertie pour être présentée sous un deuxième format de données. Naturellement, il convertit aussi en le premier format les données contenues dans du trafic de données envoyé sous un deuxième format par le deuxième réseau de communication informatique 48 et réachemine ces données converties vers le premier réseau de communication informatique 38 sous la forme de trafic de données. Si les données sont par exemple une requête ou une instruction sous un deuxième format de données, cette requête ou instruction est alors convertie en une requête ou une instruction sous le premier format de données. Grâce à ce décodage et cette conversion, le dispositif peut en outre déterminer d'une manière exacte et précise quel type de données est autorisé à traverser le pare-feu. Il peut donc déterminer quelles données sont autorisées à être transmises du deuxième réseau de communication informatique 48 au premier réseau de communication informatique 38 et dans l'autre sens. Comme le dispositif pare-feu 32 exécute un décodage et une conversion, cette détermination est en outre basée sur le contenu du trafic de données et non sur les ordinateurs et ports utilisés. S'il détermine que certaines données sur l'un des réseaux de communication informatiques destinées à des ordinateurs sur l'autre réseau de communication informatique ne sont pas autorisées, par exemple parce qu'il détecte un virus, il peut donc bloquer cette communication spécifique. Le dispositif pare-feu 32 bloque donc une communication selon le contenu du trafic de données. On peut donc considérer que le dispositif pare-feu 32 comprend un moyen de décodage et de conversion d'un format à l'autre de données contenues dans du trafic de données, et un moyen pour déterminer si des données dans ce trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques 38 et 48, ce moyen pour déterminer si des données dans ce trafic de données sont autorisées à passer pouvant être un moyen pour déterminer si ces données dans le trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques d'après le contenu du trafic de données. Le dispositif pare-feu 32 peut en outre être programmé pour journaliser tout trafic de données refusé, c'est-à-dire le trafic de données incluant des données qui ne sont pas autorisées à passer d'un réseau de communication informatique à l'autre. Grâce à cette journalisation, il peut ensuite interdire un renvoi de ce trafic de données refusé. On peut donc considérer que le dispositif pare-feu 32 comprend un moyen pour journaliser le trafic de données non autorisées et un moyen pour interdire que ce trafic de données non autorisé ne soit renvoyé par l'un des réseaux de communication informatiques 38 et 48. Selon une variante de la présente invention, cette journalisation est étendue à tout le trafic, c'est-à- dire non seulement le trafic bloqué mais aussi les données qui sont autorisées à passer d'un réseau de communication informatique à l'autre. Cela peut être effectué dans le but d'obtenir des statistiques sur le trafic à travers le pare-feu, qui peuvent être utilisées pour un audit de sécurité et un équilibrage de charge. On peut donc considérer que le moyen de journalisation dans le dispositif pare-feu est un moyen pour journaliser toutes les données passant par le dispositif pare-feu. La journalisation peut ensuite être utilisée pour examiner les données afin de détecter par exemple la présence de nombreuses requêtes non nécessaires et/ou identiques pour des données de mesure ou l'existence d'une forme dans ces requêtes qui s'écarte d'un forme normale. S'il existe un grand nombre de ces requêtes, leur conversion et leur acheminement peuvent alors simplement être empêchés. Selon une autre variante de la présente invention, le dispositif pare-feu 32 peut en outre être programmé pour ajuster la charge sur le premier réseau de communication informatique 38. Cela peut être réalisé en incluant dans le dispositif pare-feu deux ordinateurs redondants, ou plus, ayant la même fonctionnalité. Des activités de traitement et communication peuvent alors être réparties uniformément entre ces deux ordinateurs ou plus. Cela peut être effectué pour assurer qu'il n'existe aucun risque de surcharge du premier réseau de communication informatique. De cette manière, des "attaques par déni de service" sophistiquées ainsi qu'une surcharge causée par une panne d'un ordinateur polyvalent 40, 42, 44 ou 46 connecté au deuxième réseau de communication informatique 48 peuvent être évitées. On peut donc considérer que le dispositif pare-feu 32 comprend un moyen pour ajuster ou équilibrer la charge sur le premier réseau de communication informatique 38. Le dispositif pare-feu 32 peut aussi être programmé pour distribuer des données de temps, telles que des messages de temps absolu ou des messages de synchronisation de temps, sur le premier réseau de communication informatique 38. Cela peut en outre être effectué d'une manière fiable. On peut donc considérer que le dispositif pare-feu 32 comprend un moyen pour distribuer des données de temps sur le premier réseau de communication informatique 38. Il est aussi possible que les ordinateurs utilisent un cryptage sur le premier ou le deuxième des réseaux de communication informatique 38 et 48, ou sur les deux. Dans ce cas, le dispositif pare-feu 32 sera aussi doté d'une capacité de cryptage et décryptage relativement à chaque réseau de communication informatique qui utilise un cryptage. L'invention offre un certain nombre d'avantages. Elle assure la sécurité en examinant les données réelles contenues dans le trafic de données et non en examinant la connexion, typiquement les ordinateurs ou ports utilisés. Elle offre donc une plus grande sécurité dans un dispositif pare-feu que des pare-feu conventionnels. En outre, les réglages du dispositif pare-feu ne peuvent pas être modifiés "par inadvertance", mais ne peuvent être modifiés que par reprogrammation. En outre, le dispositif pare-feu contrôle les données destinées aux ordinateurs du premier groupe pour assurer qu'ils ne sont pas surchargés par des accès réseau. LISTE DES COMPOSANTS 10 Système de transport d'électricité à haute tension 12 Première ligne CA 14 Premier transformateur 16 Premier convertisseur 18 Troisième convertisseur 20 Première ligne CC 22 Deuxième ligne CC 24 Deuxième convertisseur 26 Quatrième convertisseur 28 Deuxième transformateur 30 Deuxième ligne CA 32 Dispositif pare-feu 34 Ordinateur de commande 36 Ordinateur de protection 38 Premier réseau de communication informatique40 Serveur 42 Premier poste de travail d'opérateur 44 Deuxième poste de travail d'opérateur 46 Passerelle 48 Deuxième réseau de communication informatique REVENDICATIONS 1. Dispositif pare-feu (32) à connecter dans un système de transport d'électricité à haute tension (10) entre un premier groupe d'ordinateurs (34, 36) incluant des ordinateurs de protection et de commande et un deuxième groupe d'ordinateurs polyvalents (40, 42, 44, 46), les ordinateurs du premier groupe étant interconnectés par un premier réseau de communication informatique (38) ayant un premier format de données et les ordinateurs du deuxième groupe étant interconnectés par un deuxième réseau de communication informatique (48) ayant au moins un deuxième format de données, caractérisé en ce que ledit dispositif pare-feu (32) comprend: un moyen pour décoder et convertir d'un format à l'autre des données contenues dans du trafic de données, et un moyen pour déterminer quelles données dans ce trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques. 2. Dispositif pare-feu (32) selon la revendication 1, dans lequel ledit moyen de détermination est un moyen pour déterminer si des données dans ce trafic de données sont autorisées à passer de l'un à l'autre des réseaux de communication informatiques d'après le contenu du trafic. 3. Dispositif pare-feu (32) selon la revendication 1 ou 2, comprenant en outre un moyen pour journaliser au moins du trafic de données non autorisées et un moyen pour interdire que ce trafic de données non autorisées ne soit renvoyé par l'un des réseaux de communication informatiques. 4. Dispositif pare-feu (32) selon la revendication 3, dans lequel ledit moyen de journalisation est un moyen pour journaliser toutes les données passant par le dispositif pare-feu. 5. Dispositif pare-feu (32) selon l'une quelconque des revendications précédentes, comprenant en outre un moyen pour ajuster la charge sur le premier réseau de communication informatique (38). 6. Dispositif pare-feu (32) selon l'une quelconque des revendications précédentes, comprenant en outre un moyen pour distribuer des données de temps sur le premier réseau de communication informatique (38). 7. Dispositif pare-feu (32) selon l'une quelconque des revendications 5 précédentes, dans lequel le trafic de données envoyé depuis les ordinateurs du premier et/ou du deuxième groupe est crypté. 8. Dispositif pare-feu (32) selon l'une quelconque des revendications précédentes, qui est connecté dans un système de transport d'électricité en courant continu. 10 9. Dispositif pare-feu (32) selon la revendication 8, dans lequel le système fonctionne à des tensions voisines de 800 kV. 10. Dispositif pare-feu (32) selon l'une quelconque des revendications précédentes, dans lequel les ordinateurs du premier groupe d'ordinateurs (34, 36) sont des ordinateurs industriels de protection et de commande en temps réel.