Brevet FR2978848A1 — publié le 20130208

PROCEDE DE LISSAGE DE LA CHARGE DE TRAVAIL D'UN SERVEUR [oo1i L'invention concerne un procédé de lissage de la charge de travail d'un serveur de transaction exécutant des traitements en réponse à des requêtes transmises par des terminaux distants et distincts les uns des autres. L'invention concerne également un procédé de fonctionnement d'un terminal et d'un serveur pour la mise en oeuvre de ce procédé de lissage. Enfin, l'invention concerne aussi un terminal, un serveur et un support d'enregistrement d'informations pour la mise en oeuvre de ce procédé de lissage. [002] Par « charge de travail » on désigne une grandeur physique mesurable qui permet de calculer le taux d'occupation d'une ressource informatique exploitée par le serveur de transaction pour exécuter le traitement requis par le terminal. Chaque ressource informatique possède un seuil de charge au-delà duquel elle ne peut plus être utilisée pour réaliser un traitement supplémentaire. Lorsque ce seuil de charge est dépassé, on dit que la ressource ou le système qui incorpore cette ressource est « surchargé ». Le taux d'occupation est typiquement le rapport entre le nombre de traitements déjà en cours et ce seuil de charge. Par exemple, typiquement, la grandeur physique mesurable est le nombre de connexions simultanées actuellement établies avec le serveur. Cette grandeur physique mesurable peut également être le nombre d'opérations exécutées par seconde par un microprocesseur électronique du serveur pour traiter les requêtes des terminaux. [3] Lisser la charge de travail du serveur de transaction consiste d'abord à éviter que l'on dépasse par instants son seuil de charge. Typiquement, lorsque le seuil de charge est atteint, soit le serveur de transaction refuse toute nouvelle connexion soit le serveur établit la nouvelle connexion mais n'exécute pas le traitement requis par le terminal car la ou les ressources nécessaires sont surchargées. Dans ces deux cas, on considère qu'il y a « échec » de la connexion puisque celle-ci n'a pas conduit à l'exécution immédiate du traitement requis par le terminal. [4] De préférence, le lissage de la charge de travail consiste aussi à répartir le plus uniformément possible dans le temps les traitements exécutés par le serveur de transaction et, si possible, à maintenir la charge de travail constamment au-dessus d'un seuil prédéterminé. [5] Pour lisser la charge de travail du serveur de transaction, des procédés connus comportent : - le calcul d'une date de rendez-vous à laquelle le terminal doit établir une connexion avec le serveur de transaction pour lui transmettre ladite requête, - le déclenchement de l'établissement par ce terminal de cette connexion en fonction de la date de rendez-vous calculée de manière à ce que l'établissement de cette connexion se produise uniquement au moment ou après que cette date de rendez- vous soit arrivée, - la construction d'un plan de charge du serveur de transaction en fonction des dates de rendez-vous calculées, ce plan de charge associant à chaque date possible une charge prévisionnelle de travail de ce serveur de transaction à cette date. [6] Par « date » on désigne toute information qui permet d'indiquer un instant déterminé par rapport à une origine des temps. Une date peut se présenter sous différents formats. Par exemple, l'un des formats classiques est le format année/mois/jour/heure/minute/seconde. La date peut également s'écrire sous la forme d'une valeur numérique ou d'un nombre d'intervalles de temps prédéterminés successifs écoulés depuis l'origine des temps. L'origine des temps est généralement absolue et commune à tous les terminaux et serveurs. Toutefois, l'origine des temps peut également être fixée par rapport à un évènement particulier tel que la réception d'un message de convocation. Par exemple, dans la suite de cette description, la date est un instant mesuré en secondes écoulées depuis une origine des temps commune à l'ensemble des équipements. Les horloges utilisées par les différents équipements pour mesurer la date sont synchronisées entre elles de façon conventionnelle. [7] Par la suite, on appelle « date courante », la date correspondant à l'instant présent. [8] Dans les procédés connus, il a déjà été envisagé dans la demande de brevet JP 2007 005971 de fixer la date de rendez-vous en fonction du plan de charge du serveur de transaction pour limiter les échecs de connexion à la date de rendez-vous. Grâce à cela, la charge de travail du serveur de transaction est lissée de façon efficace puisque, a priori, le terminal se connecte au serveur de transaction uniquement à une date où ce dernier a la capacité d'exécuter le traitement requis. Ceci permet de limiter les surcharges du serveur de transaction. Toutefois, il est souhaitable d'améliorer ce procédé pour lisser de manière encore plus efficace la charge de travail du serveur de transaction. [9] L'invention a donc pour objet un procédé de lissage de la charge de travail dans lequel le procédé comporte : - pour chaque terminal, le relevé des instants de basculement entre : - un état actif du terminal dans lequel ce terminal est capable d'établir la connexion avec le serveur de transaction, et - un état inactif du terminal dans lequel ce terminal est incapable d'établir cette connexion avec le serveur de transaction, - la construction pour chaque terminal, à partir des instants de basculement relevés, d'un profil individuel d'utilisation associant à chaque date possible à venir une probabilité d'état correspondant à la probabilité que ce terminal soit dans l'état actif à cette date, - le calcul de la date de rendez-vous consiste à sélectionner, en fonction du plan de charge et du profil individuel, une date de rendez-vous associée dans le plan de charge du serveur de transaction à une charge prévisionnelle de travail inférieure à un premier seuil prédéterminé et, à la fois, associée dans le profil individuel d'utilisation de ce terminal à une probabilité d'état correspondant à une probabilité que ce terminal soit dans l'état actif supérieure à un second seuil prédéterminé. [0010] Dans le procédé ci-dessus, on maximise les chances de réussite du traitement de la requête du terminal lors de sa connexion à la date de rendez-vous calculée. En effet, la date de rendez-vous est calculée pour tomber à la fois : - à un instant où la charge de travail du serveur de transaction est suffisamment faible pour exécuter immédiatement le traitement requis par le terminal, et - à un instant où le terminal est dans l'état actif et peut donc se connecter au serveur de transaction. [0011] Ce procédé permet donc de limiter le nombre d'échec de connexion et, par conséquent, de lisser encore plus efficacement la charge de travail du serveur. [0012] De plus, ce procédé est entièrement automatisable de sorte que l'intervention d'un utilisateur devient inutile. [0013] Les modes de réalisation de ce procédé peuvent comporter une ou plusieurs des caractéristiques suivantes : ^ le procédé comporte : - la construction d'un profil commun d'utilisation à partir des instants de basculement enregistrés pour tous les terminaux, ce profil commun associant à chaque date possible à venir une probabilité commune d'état correspondant à la probabilité qu'un terminal quelconque parmi les différents terminaux soit dans l'état actif, - si le profil individuel d'un terminal associe à chaque date à venir une probabilité individuelle d'état correspondant à une probabilité que ce terminal soit dans l'état actif supérieure au second seuil prédéterminé quelle que soit la date à venir, alors le calcul de la date de rendez-vous consiste à sélectionner une date de rendez-vous qui est en plus associée dans le profil commun d'utilisation à une probabilité commune d'état correspondant à une probabilité qu'un terminal quelconque parmi les différents terminaux soit dans l'état actif inférieure à un troisième seuil prédéterminé ; ^ le calcul de la date de rendez-vous consiste en plus à sélectionner automatiquement la date de rendez-vous la plus proche de la date courante ; ^ avant le calcul de la date de rendez-vous, le terminal déclenche l'établissement d'une première connexion avec un serveur de rendez-vous pour obtenir la date de rendez-vous calculée à partir de son profil individuel d'utilisation puis interrompt cette première connexion avant la date de rendez- vous calculée, la connexion dont le déclenchement est déclenché en fonction de la date de rendez-vous calculée formant alors la seconde connexion ; ^lors de la première connexion : - le terminal transmet au serveur de rendez-vous un certificat électronique contenant un identifiant de ce terminal et une signature numérique de cet identifiant de terminal avec une clé privée connue de ce seul terminal, puis - le serveur de rendez-vous vérifie l'authenticité de l'identifiant du terminal à partir du certificat électronique reçu, puis - si le terminal est correctement authentifié, une date de rendez-vous est calculée puis transmise à ce terminal, et - si le terminal n'est pas correctement authentifié, aucune date de rendez-vous n'est calculée pour ce terminal ; ^ lors de la première connexion, uniquement si le terminal est correctement authentifié, le procédé comporte : - la génération d'un certificat électronique temporaire comportant au moins la date de rendez-vous calculée, un identifiant du terminal auquel cette date de rendez-vous a été allouée et une signature numérique de cette date calculée et de cette identifiant du terminal avec une clé privée propre au serveur de transaction, puis - la transmission de ce certificat électronique temporaire au terminal, lors de la seconde connexion, le procédé comporte : - la transmission par le terminal du certificat électronique temporaire reçu au serveur de rendez-vous ou au serveur de transaction, - la vérification de l'authenticité du certificat électronique temporaire et de la correspondance entre l'identifiant du terminal contenu dans ce certificat électronique temporaire et un identifiant du terminal ayant transmis ce certificat électronique temporaire, et - si l'authenticité du certificat électronique temporaire est incorrecte ou si l'identifiant du terminal ayant transmis ce certificat électronique temporaire ne correspond pas à l'identifiant contenu dans ce certificat électronique temporaire reçu, alors l'exécution immédiate du traitement requis par ce terminal est systématiquement inhibée et, dans le cas contraire, l'exécution immédiate du traitement requis n'est pas systématiquement inhibée ; ^ lors de la première connexion, le certificat électronique temporaire généré comporte également une date de validité calculée à partir de la date de rendez-vous calculée, cette date de validité étant postérieure à la date de rendez-vous, et lors de la seconde connexion, le procédé comporte la comparaison de la date courante à la date de validité du certificat électronique temporaire reçu et l'inhibition systématique de l'exécution immédiate du traitement requis par ce terminal si la date courante est postérieure à la date de validité du certificat électronique temporaire et, dans le cas contraire, l'exécution immédiate du traitement requis n'est pas systématiquement inhibée. [0014] Ces modes de réalisation présentent en outre les avantages suivants : - la sélection de la date de rendez-vous en fonction du profil commun d'utilisation permet d'optimiser la charge de travail du serveur pendant les périodes creuses; - sélectionner automatiquement la date de rendez-vous la plus proche de la date courante permet d'exécuter le plus rapidement possible tous les traitements sans dépasser le seuil de charge du serveur de transaction ; - authentifier le terminal lors de la première connexion permet de rendre plus difficile une attaque contre le serveur consistant à lui faire exécuter de façon inutile le calcul d'un grand nombre de dates de rendez-vous puisque seul un terminal correctement authentifié peut déclencher ce calcul ; - la génération et l'utilisation d'un certificat électronique temporaire permet de rendre plus difficile toute tentative d'attaque visant à surcharger le serveur en lui faisant exécuter un grand nombre de traitements inutiles puisque seul le terminal ayant un certificat électronique temporaire authentique peut déclencher l'exécution d'un traitement par le serveur ; - la non-exécution systématique du traitement lorsque le certificat électronique temporaire reçu a expiré oblige le terminal à demander une nouvelle date de rendez-vous si celui-ci s'est connecté au serveur après la date de validité du certificat électronique temporaire, ce qui permet de mieux lisser la charge de travail du serveur de transaction. [0015] L'invention a également pour objet un procédé de fonctionnement d'un serveur pour la mise en oeuvre du procédé de lissage ci-dessus, dans lequel le serveur : - calcule une date de rendez-vous à laquelle le terminal doit établir une connexion 30 avec le serveur de transaction pour lui transmettre ladite requête, - construit un plan de charge du serveur de transaction en fonction des dates de rendez-vous calculées, ce plan de charge associant à chaque date possible une charge prévisionnelle de travail de ce serveur de transaction à cette date, - reçoit le profil individuel d'utilisation d'un terminal associant à chaque date possible 35 à venir une probabilité d'état correspondant à la probabilité que ce terminal soit dans l'état actif à cette date, - calcule la date de rendez-vous en sélectionnant une date de rendez-vous associée dans le plan de charge du serveur de transaction à une charge prévisionnelle de travail inférieure à un premier seuil prédéterminé et, à la fois, associée dans le profil individuel d'utilisation de ce terminal à une probabilité d'état correspondant à une probabilité que ce terminal soit dans l'état actif supérieure à un second seuil prédéterminé. [0016] L'invention a également pour objet un procédé de fonctionnement d'un terminal pour la mise en oeuvre du procédé de lissage ci-dessus, dans lequel ce terminal déclenche l'établissement d'une connexion avec le serveur de transaction en fonction de la date de rendez-vous calculée de manière à ce que l'établissement de cette connexion se produise uniquement au moment ou après que cette date de rendez-vous soit arrivée, et le terminal : - relève des instants de basculement entre : - un état actif du terminal dans lequel ce terminal est capable d'établir la connexion avec le serveur de transaction, et - un état inactif du terminal dans lequel ce terminal est incapable d'établir cette connexion avec le serveur de transaction, - construit, à partir des instants de basculement relevés, un profil individuel d'utilisation associant à chaque date possible à venir une probabilité d'état correspondant à la probabilité que ce terminal soit dans l'état actif à cette date, - transmet son profil individuel d'utilisation construit à un serveur de rendez-vous et, en réponse, reçoit la date de rendez-vous calculée en fonction de son profil individuel d'utilisation. [0017] L'invention a également pour objet un support d'enregistrement d'informations comportant des instructions pour l'exécution de l'un quelconque des procédés ci-dessus, lorsque ces instructions sont exécutées par un calculateur électronique. [0018] L'invention a également pour objet un terminal pour la mise en oeuvre du procédé de lissage ci-dessus, ce terminal comportant : - une carte réseau pour établir une connexion avec un serveur de transaction, - un calculateur électronique programmable apte à exécuter des instructions enregistrées sur un support d'enregistrement d'informations, - un support d'enregistrement d'informations comportant les instructions nécessaires à l'exécution du procédé de lissage ci-dessus, lorsque ces instructions sont exécutées par le calculateur électronique programmable. [0019] Les modes de réalisation de ce terminal peuvent comporter la caractéristique suivante : ^ ce terminal comprend : - un désembrouilleur apte à désembrouiller un contenu multimédia embrouillé avec un mot de contrôle, et - un processeur de sécurité apte à déchiffrer un cryptogramme du mot de contrôle contenu dans un message ECM (Entitlement Control Message). [0020] Enfin, l'invention a également pour objet un serveur pour la mise en oeuvre du procédé de lissage ci-dessus, ce serveur comportant : - un calculateur électronique programmable apte à exécuter des instructions enregistrées sur un support d'enregistrement d'informations, - un support d'enregistrement d'informations contenant des instructions pour l'exécution du procédé de lissage ci-dessus, lorsque ces instructions sont exécutées par le calculateur électronique. [0021 L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif et faite en se référant aux dessins 10 sur lesquels : - la figure 1 est une illustration schématique d'un système d'émission et de réception de contenus multimédias embrouillés ; - la figure 2 est une illustration schématique d'un profil individuel d'utilisation ; - les figures 3 et 4 sont des chronogrammes représentant des exemples respectifs de 15 profil individuel d'utilisation mis en oeuvre dans le système de la figure 1 ; - la figure 5 est une illustration schématique d'un relevé d'instants de basculement mis en oeuvre dans le système de la figure 1 ; - la figure 6 est un chronogramme illustrant une partie du contenu du relevé de la figure 5; 20 - la figure 7 est une illustration schématique et partielle d'un message de convocation mis en oeuvre dans le procédé de la figure 1 ; - les figures 8 et 9 sont des illustrations schématiques et partielles de tables mises en oeuvre dans le procédé de la figure 1 ; - la figure 10 est un organigramme d'un procédé de lissage de la charge de travail 25 d'un serveur de transaction mis en oeuvre dans le système de la figure 1 ; - les figures 11 et 12 sont des illustrations schématiques de relevés d'instants de basculement utilisés par le procédé de la figure 10. [0022] Dans ces figures, les mêmes références sont utilisées pour désigner les mêmes éléments. 30 [0023] Dans la suite de cette description, les caractéristiques et fonctions bien connues de l'homme du métier ne sont pas décrites en détail. De plus, la terminologie utilisée est celle des systèmes d'accès conditionnels à des contenus multimédias embrouillés. Pour plus d'informations sur cette terminologie, le lecteur peut se reporter aux documents suivants : 35 « Functional Mode/ of a Conditional Access System », EBU Review, Technical European Broadcasting Union, Bruxels, BE, N° 266, le 21 décembre 1995. [0024] La figure 1 représente un système 2 d'émission et de réception de contenus multimédias embrouillés. Le système 2 comprend une tête de réseau 4 diffusant par l'intermédiaire d'un réseau 8 de transmission d'informations, les contenus multimédias embrouillés à destination d'une multitude de terminaux. Pour simplifier la figure 1, seuls trois terminaux 10 à 12 sont représentés. [0025] Le réseau 8 est typiquement un réseau grande distance de transmission d'informations tel que le réseau Internet ou un réseau satellitaire ou tout autre réseau de diffusion tel que celui utilisé pour la transmission de la télévision numérique terrestre (TNT). [0026] La tête de réseau 4 comprend notamment un dispositif 20 de diffusion de contenus multimédias embrouillés. Par exemple, ce dispositif 20 est identique ou similaire au dispositif 6 décrit dans la demande de brevet FR 2954875 déposée par Viaccess sans qu'il soit nécessaire d'implémenter les mécanismes pour obtenir les mots de contrôle à l'avance. Ce dispositif 20 ne sera donc pas décrit plus en détail ici. [0027] La tête de réseau 4 comprend également : - une horloge interne 22 apte à donner la date courante, - un serveur 24 de rendez-vous, - un serveur 26 de transaction, et - une mémoire non volatile 28. [oo28] Le serveur 26 est apte à exécuter un traitement en réponse à une requête d'un des terminaux du système 2. Ici, le serveur 26 est décrit dans le cas particulier où le traitement requis par le terminal est le téléchargement d'une mise à jour logicielle de ce terminal. [0029] Le serveur 24 permet d'établir une date de rendez-vous à laquelle chaque terminal doit se connecter au serveur 26 pour télécharger la mise à jour logicielle lui correspondant. [0030] Les serveurs 24 et 26 sont raccordés à chacun des terminaux par l'intermédiaire d'un réseau 30 bidirectionnel de transmission d'informations. Ce réseau 30 permet d'établir des connexions point à point entre le serveur 24 ou 26 et un terminal quelconque du système 2. Ici, pour simplifier la figure 1, seule la liaison entre le réseau 30 et le terminal 10 est représentée. [0031] La mémoire 28 contient : - une clé privée Ksp correspondant à une clé publique Kspu, - un certificat électronique CEs, - un plan de charge 32 et un profil commun 34 d'utilisation. [0032] Le plan 32 et le profil 34 sont décrits plus en détail en référence, respectivement, aux figures 8 et 9. [0033] Le certificat électronique CEs comprend une signature numérique obtenue, par exemple, en chiffrant des informations contenues dans ce certificat avec la clé privée Ksp. La clé Ksp est connue par la tête de réseau 4 mais n'est pas connue par les terminaux du système 2. Ce certificat électronique est vérifié à l'aide de la clé publique Kspu. Ici ce certificat contient notamment un identifiant du serveur 26 de transaction. [0034] Les serveurs 24 et 26 sont réalisés à partir de calculateurs électroniques programmables aptes à exécuter des instructions enregistrées sur un support d'enregistrement d'informations. Ici, les serveurs 24 et 26 comportent, respectivement, des calculateurs électroniques 38 et 40 aptes à exécuter des instructions enregistrées dans la mémoire 28. A cet effet, la mémoire 28 comporte également des instructions pour l'exécution du procédé de la figure 10. [0035] Dans ce mode de réalisation, tous les terminaux sont supposés identiques. Ainsi, seul le terminal 10 est décrit plus en détail. [0036] Le terminal 10 désembrouille les contenus multimédias transmis par la tête de réseau 4 et les affiche en clair sur l'écran 60. Par « en clair », on désigne le fait que le contenu multimédia ainsi affiché est directement perceptible et compréhensible par un être humain. Le terminal 10 comprend un décodeur 50 raccordé à un processeur 52 de sécurité. Le décodeur 50 démultiplexe et désembrouille les contenus multimédias reçus. Le processeur 52 déchiffre les cryptogrammes des mots de contrôle contenus dans des messages ECM (Entitlement Control Message) qui lui sont transmis par le décodeur 50. Le processeur 52 est par exemple une carte à puce. Un tel processeur est décrit dans la demande de brevet publiée sous le numéro FR 2954875. Il n'est donc pas décrit plus en détail. Ici, le processeur 52 est un processeur amovible apte à être retiré et, en alternance, introduit à l'intérieur du décodeur 50 de façon réversible par l'utilisateur. [0037] Le décodeur 50 comporte notamment : - une carte réseau 54 pour établir la connexion point à point avec les serveurs 24 et 26 par l'intermédiaire du réseau 30, - un désembrouilleur 56 apte à désembrouiller le contenu multimédia reçu par l'intermédiaire du réseau 8 à l'aide du mot de contrôle délivré par le processeur 52, - une carte graphique 58 apte à afficher en clair sur un écran 60 le contenu multimédia désembrouillé, - un calculateur électronique programmable 62 apte à exécuter des instructions sur un support d'enregistrement d'informations, - une horloge interne 64 qui délivre la date courante, et - une mémoire non volatile 66. [0038] La mémoire 66 contient les instructions exécutables par le calculateur 62 pour la mise en oeuvre du procédé de la figure 10. De plus, cette mémoire contient : - un certificat électronique CET du terminal, - un profil individuel 68 d'utilisation, et - un relevé 70 d'instants de basculement. [0039] Le profil 68 et le relevé 70 sont décrits plus en détail en référence aux figures 2 et 5. [0040] Le certificat CET comporte notamment : - un identifiant du terminal 10 permettant d'identifier ce terminal parmi l'ensemble des terminaux du système 2, et - une signature numérique. [0041] La signature numérique est obtenue à partir de l'identifiant du terminal ainsi 5 qu'à partir d'une clé privée KTp connue de ce terminal mais inconnue des autres terminaux du système. [0042] Le décodeur 50 comprend également une interface homme machine 72 permettant de faire basculer le terminal 10 entre un état actif et un état inactif. Dans l'état actif, le terminal 10 peut prendre automatiquement l'initiative de se connecter au 10 serveur 24 ou 26 pour lancer l'exécution d'un traitement par le serveur 26. Dans l'état inactif, le terminal 10 est incapable d'établir une connexion avec le serveur 24 ou 26. Typiquement, l'état actif correspond à l'état allumé du terminal tandis que l'état inactif correspond à l'état éteint ou en veille du terminal 10. [0043] L'interface 72 est par exemple un bouton ou un récepteur infrarouge associé 15 à une télécommande directement manipulable par l'utilisateur. [0044] Un profil individuel d'utilisation tel que le profil 68 est une fonction associant à chaque date une probabilité d'état P;, où l'indice i est un identifiant du terminal. La probabilité d'état P; correspond à la probabilité que ce terminal soit dans l'état actif à cette date à venir. Ici la probabilité d'état P; prend une valeur comprise entre 0 et 1. 20 Plus la valeur de la probabilité P; est faible, plus la probabilité que le terminal soit dans l'état actif est faible. Ici, le profil 68 est implémenté sous la forme d'une table dont un exemplaire est représenté dans la figure 2. Dans cette figure et dans les figures suivantes, les traits ondulés indiquent que des parties de la représentation ont été omises. 25 [0045] Le profil 68 associe à chaque plage horaire à venir une valeur spécifique de la probabilité P;. Ici, les plages horaires sont immédiatement consécutives dans le temps. La durée d'une plage horaire est typiquement comprise entre une minute et vingt-quatre heures et, de préférence, entre une minute et quatre heures ou entre une minute et une heure. Dans ce mode de réalisation, la durée de chaque plage horaire 30 est identique. Ici, la durée de chaque plage horaire est égale à quinze minutes. [0046] Chaque plage horaire est associée à un identifiant permettant d'identifier sa position dans le temps par rapport aux autres plages horaires. [0047] A cet effet, dans ce mode de réalisation, le profil 68 comporte une succession ordonnée de cellules C; dans laquelle la position de la cellule par rapport aux autres 35 cellules identifie la plage horaire concernée, où l'indice j est un identifiant de la cellule et donc de la plage horaire. Chaque cellule comprend une valeur p;; spécifique de la probabilité P; pour cette plage horaire. [0048] L'ensemble des plages horaires définit un cycle d'utilisation du terminal. En effet, on suppose ici que l'état du terminal évolue de façon cyclique, c'est-à-dire que 40 l'utilisation du terminal peut être divisée en cycles successifs. Pendant chaque cycle l'état du terminal évolue au cours du temps de façon similaire à l'évolution observée pendant les autres cycles. Par exemple, la durée d'un cycle est comprise entre une heure et une année et, typiquement, comprise entre un jour et un mois. Ici, la durée d'un cycle est prise égale à une semaine. [0049] Le profil 68 comprend autant de cellules C; que de plages horaires successives dans un cycle. [0050] Les figures 3 et 4 représentent graphiquement et schématiquement le contenu de deux profils individuels différents. Pour simplifier les illustrations, seule une journée appelée par la suite « journée 1 » des profils est représentée sur les figures 3 et 4. Ici, chacun des profils a été représenté sous la forme d'un chronogramme. L'axe des abscisses représente donc le temps exprimé en heure et l'axe des ordonnées représente la valeur de la probabilité P. Dans le profil de la figure 3, la probabilité que le terminal soit dans l'état actif entre 17h et 18h et entre 21h et 22h est de 0,5 et la probabilité qu'il soit actif entre 18h et 19h et entre 20h et 21 h est de 1. En dehors de ces plages horaires, la probabilité P; est nulle. Le profil de la figure 3 correspond à un utilisateur qui éteint son terminal lorsqu'il ne regarde plus la télévision. [0051] Dans le profil de la figure 4, la probabilité que le terminal soit dans l'état actif entre 0 et 24 heures est constante et égale à 1. Cela correspond à un utilisateur qui n'éteint jamais son terminal même lorsqu'il ne regarde pas la télévision. [0052] La figure 5 représente plus en détail un exemple d'implémentation du relevé 70. Le relevé 70 archive les instants de basculement du terminal entre les états actif et inactif observés sur plusieurs cycles précédant la date courante. Dans cet exemple, le relevé 70 est implémenté sous la forme d'une table ayant plusieurs colonnes et autant de lignes que de plages horaires dans un cycle. Chaque ligne correspondant à une plage horaire PH;. Il y a donc N lignes où N est un nombre entier de plages horaires. Chaque colonne correspond à un cycle particulier d'utilisation du terminal. Une cellule est présente à l'intersection de chaque ligne et chaque colonne. Cette cellule comprend un « 1 » Si le terminal était dans l'état actif depuis le début jusqu'au moins le milieu de la plage horaire correspondante à cette ligne pendant le cycle identifié par cette colonne. Dans le cas contraire, la cellule comprend un « 0 ». Ici, pour simplifier l'illustration, la table de la figure 5 comprend uniquement deux colonnes Cy, et Cy2 correspondant, respectivement à des cycles « 1 » et « 2 ». La colonne Cy, correspond au cycle courant et la colonne Cy2 correspond au cycle immédiatement précédant le cycle Cy,. Le cycle courant est le cycle contenant la date courante. [0053] Un exemple de relevé sur un cycle de vingt-quatre heures est illustré par le graphe de la figure 6. Dans ce graphe, l'axe des abscisses représente le temps et l'axe des ordonnées représente l'état actif (valeur 1) et l'état inactif (valeur 0). La courbe 80 représenté l'évolution au cours du temps du relevé des instants de basculement observés par le terminal. [0054] La figure 7 représente schématiquement la structure d'un message 84 de convocation. Ce message 84 comporte : - un identifiant Ima;de la mise à jour logicielle à télécharger, et - une définition d'une plage temporelle PI pour établir une première connexion. [0055] La plage PI est la plage dans laquelle doivent se répartir les différentes premières connexions des terminaux au serveur 24 de rendez-vous en réponse à ce message de convocation. [0056] Le message de convocation est typiquement diffusé par le dispositif 6 pour signaler à l'ensemble des terminaux qu'une mise à jour logicielle est disponible et doit être téléchargée par ceux-ci. [0057] La plage PI est par exemple définie par une date de fin et, éventuellement une date de début. Elle s'étend sur une durée assez longue, c'est-à-dire une durée supérieure à 10 minutes et, de préférence, supérieure à une heure ou trois heures. Cette plage est suffisamment grande pour permettre à plusieurs centaines et, de préférence, plusieurs milliers, dizaines de milliers ou centaines de milliers de terminaux de se connecter pendant cette plage aux serveurs 24 ou 26. [0058] La figure 8 représente un mode d'implémentation particulier du plan 32 de charge. Dans ce mode de réalisation, le plan 32 est implémenté sous la forme d'une table qui associe à chaque date une charge prévisionnelle de travail du serveur 26 de transaction. Ici, cette table associe à chaque plage horaire d'un cycle une cellule Ti. La cellule Ti comporte le nombre prévu de connexions simultanées au serveur de transaction pendant cette plage horaire. Un nombre Ncmax maximal de connexions simultanées que peut supporter le serveur 26 est également connu et mémorisé, par exemple, dans la mémoire 28. Dans ce mode de réalisation, le taux prévisionnel d'occupation est égal au nombre prévu de connexions simultanées rapporté au nombre Ncmax. Le nombre Ncmax est supérieur à 1 000 ou 5 000 ou 10 000. [0059] La figure 9 représente un mode particulier d'implémentation du profil commun 34 d'utilisation. Ce profil 34 associe à chaque date une probabilité commune d'état Pc. La probabilité Pc correspond à la probabilité qu'un terminal quelconque du système 2 soit dans l'état actif à cette date à venir. Les différentes valeurs de la probabilité Pc font donc ressortir les plages horaires où il y a plus de chances qu'un très grand nombre de terminaux soient dans l'état inactif. La plage horaire où il est le plus probable qu'un très grand nombre de terminaux soient dans l'état inactif est ici appelée « heure creuse ». [0060] Dans ce mode de réalisation, le profil commun 34 est implémenté de façon identique à ce qui a été décrit pour le profil individuel 68 sauf que les cellules C; de la table associent à chaque plage horaire une valeur de la probabilité Pc et non pas une valeur de la probabilité P. [0061] Le fonctionnement du système 2 va maintenant être décrit en référence au procédé de la figure 10. [0062] Le fonctionnement des différents terminaux étant identiques, le procédé de la figure 10 décrit uniquement le fonctionnement du terminal 10. [0063] Lors d'une étape 100, le terminal 10 relève les instants où il bascule entre les états actif et inactif. On suppose ici qu'au début d'un nouveau cycle, la colonne Cy, du relevé 70 contient uniquement des « 0 » dans chaque cellule. [0064] Lorsque le terminal est dans l'état actif, lors d'une opération 102, il compare la date courante fournie par son horloge interne 64 aux dates correspondantes au début des plages horaires Ph; pour identifier le début de la prochaine plage horaire. [0065] Ensuite, lors d'une opération 104, le calculateur 62 compare la date courante fournie par l'horloge 64 à une date correspondant au milieu de la prochaine plage horaire identifiée lors de l'opération 102. Tant que le milieu de cette plage horaire n'est pas dépassé par la date courante, le calculateur 62 exécute en boucle l'opération 104. Lorsque la date courante dépasse le milieu de la prochaine plage horaire, il est procédé à une opération 106. [0066] Lors de l'opération 106, le terminal écrit un « 1 » dans la cellule correspondante à cette plage horaire dans la colonne Cy,. [0067] Ensuite, les opérations 102 à 106 sont réitérées en boucle. [0068] Lorsque la date courante dépasse la date de fin de la dernière plage horaire de la colonne Cy,, la colonne Cy, est déplacée, lors d'une opération 108, pour remplacer la colonne Cy2 et une nouvelle colonne Cy, contenant uniquement des « 0 » est créée. [0069] Ainsi, le relevé 70 permet de conserver un historique des instants de 25 basculement relevés sur une fenêtre glissante égale à deux cycles. [0070] Ensuite, lors d'une étape 110 exécutée, par exemple, à chaque fin de cycle, le calculateur 62 construit le profil individuel 68. Pour cela, le calculateur 62 calcule la moyenne des contenus de chaque ligne dans le relevé 70. Ainsi, le profil individuel 68 est uniquement construit à partir du relevé des instants de basculement de ce 30 terminal 10. De plus, il est construit grâce à une moyenne glissante ce qui permet de réagir assez rapidement en cas de changement dans les habitudes d'utilisation du terminal. [0071] Ce calcul de la valeur de la probabilité P; est illustré par les chronogrammes des figures 11, 12 et 3. Pour simplifier les illustrations, ces graphes ne représentent 35 qu'une seule journée du cycle. [0072] Les chronogrammes des figures 11 et 12 représentent les relevés d'instants de basculement du terminal 10 pour la journée « 1 » des cycles « 1 » et « 2 ». Sur ces chronogrammes, les axes des abscisses et des ordonnées représentent, respectivement, le temps exprimé en heures et l'état du terminal de façon similaire à ce qui a été décrit pour le graphe de la figure 6. Ces chronogrammes montrent que le terminal 10 a été dans l'état actif uniquement entre : - 17h et 19h et 20h et 21h pendant la journée « 1 » du cycle « 1 », et - entre 18h et 19h et 20h et 22h pour la journée « 1 » du cycle « 2 ». [0073] La moyenne des relevés dans les cycles « 1 » et « 2 » pour la journée « 1 » entre 17h et 18h est ici égale à 0,5. Cette valeur donne la valeur de la probabilité P; entre 17h et 18h pendant la journée « 1 ». On procède ainsi pour chaque plage horaire ce qui permet d'obtenir le profil individuel d'utilisation représenté sur la figure 3. [0074] Ensuite, lors d'une étape 112, le profil individuel 68 construit est enregistré dans la mémoire 66 à la place du précédent profil individuel d'utilisation. [0075] Les étapes 110 et 112 sont réitérées en permanence lorsque le terminal est dans l'état actif pour actualiser sans cesse le profil individuel 68. [0076] En parallèle, lors d'une étape 120, le dispositif 20 diffuse en permanence les contenus multimédias embrouillés et des messages ECM et EMM (Entitlement Management Message) multiplexés ensemble vers tous les terminaux par l'intermédiaire du réseau 8. [0077] Lors d'une étape 122, chaque terminal dans l'état actif reçoit le contenu multimédia embrouillé et les messages ECM et EMM. Lors de cette étape, le décodeur 50 transmet les messages ECM et EMM au processeur 52 de sécurité. [0078] Lors d'une étape 124, le processeur 52 déchiffre le cryptogramme des mots de contrôle contenus dans le message ECM et transmet le mot de contrôle ainsi déchiffré au décodeur 50. [0079] En réponse, lors d'une étape 126, le désembrouilleur 56 désembrouille le 25 contenu multimédia embrouillé et le transmet à la carte vidéo 58 pour qu'il soit affiché en clair sur l'écran 60. [0080] Les étapes 120 à 126 sont réitérées en boucle. [0081 En parallèle des étapes précédentes, lors d'une étape 130, lorsqu'une mise à jour du logiciel du décodeur 50 ou du processeur 52 devient nécessaire, le dispositif 30 20 diffuse le message 84 de convocation au travers du réseau 8. La diffusion est une diffusion multipoints plus connue sous le terme anglais de « multicast ». Le canal utilisé pour diffuser ce message 84 est par exemple le même que celui utilisé pour diffuser les messages EMM. Ce message 84 est rediffusé à intervalles réguliers tant que tous les terminaux ne se sont pas connectés au moins une fois au serveur 24 de 35 rendez-vous. [0082] Lors d'une étape 132, le terminal 10 écoute en permanence ce canal quand il est dans l'état actif. Ainsi, lors de l'étape 132, le terminal 10 reçoit le message 84. [0083] Lors d'une étape 134, en réponse au message 84, le calculateur 62 détermine une date de première connexion. La date de première connexion est 40 déterminée de manière à répartir le plus uniformément possible dans le temps les premières connexions des terminaux au serveur 24. Par exemple, le calculateur 62 tire de façon aléatoire ou pseudo aléatoire une date de première connexion contenue dans la plage PI contenue dans le message 84. [0084] Ensuite, lors d'une étape 136, le terminal 10 déclenche l'établissement de cette première connexion au serveur 24 en fonction de la date de première connexion déterminée. A cet effet, le calculateur 62 surveille si la date de première connexion est arrivée ou dépassée. Pour cela, par exemple, il compare à intervalles réguliers la date courante délivrée par l'horloge interne 64 à la date de première connexion. Tant que la date courante reste antérieure à la date de première connexion, le calculateur 62 inhibe le déclenchement de l'établissement de cette première connexion. A l'inverse, dès que la date courante est égale ou postérieure à la date de première connexion, le calculateur 62 déclenche l'établissement de cette première connexion. Cette première connexion est une connexion point à point établie entre le terminal 10 et le serveur 24 par l'intermédiaire du réseau 30. [0085] Lors de cette première connexion, comme lors des connexions suivantes, le terminal 10 transmet au serveur 24 une requête de mise à jour. La requête de mise à jour contient notamment : - un code de priorité indiquant si le traitement doit être immédiatement exécuté ou ou s'il peut être reporté à plus tard, - son profil individuel 68 d'utilisation, et - son certificat électronique CET. [0086] Lors d'une étape 138, le serveur 24 vérifie l'authenticité du terminal 10 à partir du certificat CET reçu. Si l'authentification est incorrecte, c'est-à-dire que l'identifiant du terminal reçu ne correspond pas à l'identifiant utilisé pour construire la signature numérique contenue dans le certificat électronique CET, alors le procédé retourne à l'étape 130. [0087] Dans le cas contraire, le procédé se poursuit par une étape 140 lors de laquelle le serveur 24 vérifie si la requête de mise à jour reçue contient un indice de priorité indiquant que le traitement doit être immédiatement exécuté. Dans l'affirmative, le serveur 24 commande alors le serveur 26 pour déclencher l'exécution immédiate du traitement requis. [0088] Dans le cas contraire, lors d'une étape 142, le serveur 24 mesure la charge actuelle de travail du serveur 26. Ici, le serveur 24 dénombre le nombre actuel CA de connexions simultanées au serveur 26. Si ce nombre CA est inférieur à un seuil prédéterminé Sdelayed prédéterminé, il procède immédiatement à une étape 144 lors de laquelle le traitement requis par le terminal est immédiatement exécuté par le serveur 26. [0089] Lors de l'étape 142, le serveur 24 construit et met à jour le profil commun 34 à partir du profil 68 reçu lors de l'étape 136. Par exemple, pour cela, il calcule la 40 moyenne des X derniers profils individuels d'utilisation reçus pour obtenir un profil moyen d'utilisation. X est un nombre entier supérieur à 10, 100 ou 1000. Ce profil moyen d'utilisation constitue alors le nouveau profil commun 34. [0090] Ici, lors de l'étape 144, le terminal 10 télécharge à partir du serveur 26 la mise à jour logicielle correspondant à l'identifiant Imaj. [0091] Si la charge actuelle CA mesurée est supérieure au seuil Sdelayed alors il est procédé à une étape 146 de calcul d'une date de rendez-vous entre ce terminal 10 et le serveur 26 de transaction. [0092] Pour cela, lors d'une opération 148, le serveur 24 commence par détecter si le terminal 10 est en permanence dans l'état actif. A cet effet, par exemple, il calcule la différence b entre la plus grande et la plus petite valeur de la probabilité P; contenue dans son profil individuel 68. Ensuite, il compare cette différence b à un seuil prédéterminé E. Par exemple, le seuil c est inférieur à 0,2*Max(P;) et de préférence inférieur à 0,1*Max(P;) ou 0,05*Max(P;), où *Max(Pi) est la plus grande valeur de la probabilité P. [0093] Si la différence b est inférieure au seuil c, alors le terminal 10 est considéré comme étant en permanence dans l'état actif. Dans ce cas, il est procédé à une opération 150 de sélection de la date de rendez-vous en prenant en compte, en plus du plan 32 de charge et du profil individuel 68, le profil commun 34 d'utilisation. [0094] Dans le cas contraire, le terminal 10 est considéré comme n'étant pas systématiquement dans l'état actif. Il est alors procédé à une opération 152 de sélection de la date de rendez-vous en fonction du plan de charge 32 et du profil individuel 68 sans utiliser le profil commun 34. [0095] Lors de l'opération 150, le serveur 24 sélectionne la date de rendez-vous associée dans le profil commun 34 à une valeur de la probabilité Pc inférieure à un seuil So prédéterminé. Ici, le seuil So est déterminé dynamiquement. Par exemple, il est choisi égal à la plus faible valeur de la probabilité Pc pour laquelle la charge prévisionnelle du serveur 26 est inférieure à un seuil prédéterminé Si. Par exemple, le seuil S, est choisi égal à Ncmax. [0096] Par exemple, pour cela, le serveur 24 marque toutes les plages horaires du plan de charge 32 pour lesquelles la charge prévisionnelle est supérieure ou égale au seuil S, comme étant « indisponible ». Ensuite, le serveur 24 sélectionne une date de rendez-vous dans une plage horaire à la fois : - disponible, c'est-à-dire qu'elle n'a pas été marquée comme « indisponible » dans le plan de charge, et - correspondant à la plus faible valeur de la probabilité Pc associée à des plages horaires disponibles. [0097] Cette opération 150 permet d'optimiser la charge de travail du serveur 26 pendant les heures creuses. En effet, les mises à jour logicielles des terminaux en permanence dans l'état actif sont ainsi de préférence réalisées pendant ces heures creuses. [0098] Lors de l'opération 152, le serveur 24 sélectionne une date de rendez-vous associée à la fois : - dans le plan de charge 32, à une charge prévisionnelle inférieure à un seuil prédéterminé tel que le seuil S, et, - dans le plan individuel 68, à une valeur de la probabilité P; supérieure à un seuil prédéterminé S2. [0099] De plus, le serveur 24 sélectionne automatiquement parmi les différentes dates remplissant les deux conditions précédentes, systématiquement, la date qui est la plus proche de la date courante actuelle. [00100] Après avoir construit la date de rendez-vous, lors d'une étape 154, le serveur 24 génère un certificat électronique temporaire contenant un identifiant du terminal, la date de rendez-vous construite et une date de validité de ce certificat. Ce certificat électronique temporaire comprend également une signature numérique obtenue, par exemple, en chiffrant l'identifiant du terminal, la date de rendez-vous et la date de validité avec la clé privée Ksp de la tête de réseau 4. [00101] L'identifiant du terminal est par exemple son adresse sur le réseau 30 tel que son adresse IP (Internet Protocol) ou le même identifiant que celui contenu dans le certificat électronique CET. [00102] La date de validité est définie en fonction de la date de rendez-vous construite. Par exemple, la date de validité est égale à la date de rendez-vous construite à laquelle est ajoutée une durée ET prédéterminée. Par exemple la durée ET est inférieure à 60s, 5 min ou 15 min. [00103] Lors d'une étape 156, le serveur 24 transmet au terminal 10 le certificat électronique temporaire par l'intermédiaire de la première connexion point à point . [00104] Ensuite, lors d'une étape 158, le serveur 24 ou 26 construit et met à jour le plan de charge 32 en fonction de la nouvelle date de rendez-vous construite. Pour cela, par exemple, il ajoute une unité au nombre prévu de connexions contenues dans la cellule T; correspondante à cette date de rendez-vous. [00105] La durée d'exécution des étapes 146 à 158 est strictement inférieure et, de préférence au moins dix ou cent fois inférieure, à la durée d'exécution du traitement pendant l'étape 144. Ainsi, dans le même temps, le serveur 24 est capable de calculer plus de dates de rendez-vous que de traitements exécutés par le serveur 26. [00106] Lors d'une étape 160, le terminal 10 se déconnecte des serveurs 24 et 26. Ensuite, lors de cette étape, il surveille en permanence l'arrivée de la date de rendez- vous. Par exemple, il compare régulièrement la date courante issue de l'horloge 64 à la date de rendez-vous. Si la date courante est antérieure à la date de rendez-vous, le procédé reste dans l'étape 160. Ainsi, tant que la date courante est antérieure à la date de rendez-vous, le calculateur 62 inhibe le déclenchement de l'établissement de la connexion vers le serveur 26. [00107] Lorsque la date courante est égale ou postérieure à la date de rendez-vous calculée, le terminal procède à une étape 162. Lors de l'étape 162, le terminal 10 déclenche l'établissement de la connexion point à point au serveur 26 de transaction et transmet, par l'intermédiaire de cette connexion, la requête de mise à jour ainsi que le certificat électronique temporaire reçu lors de l'étape 156. [00108] Lors d'une étape 164, le serveur 26 compare la date de validité du certificat temporaire transmis à la date courante délivrée par son horloge interne 22. [00109] Si la date courante est postérieure à la date de validité ou antérieure à la date de rendez-vous, le procédé retourne, par exemple, à l'étape 134. Pour cela la connexion entre le serveur 26 et le terminal 10 est interrompue et le terminal 10 établit une nouvelle connexion avec le serveur 24. Lors de la nouvelle exécution de l'étape 134, la nouvelle date de première connexion déterminée peut être en dehors de la plage PI. [00110] Si la date courante est comprise entre la date de rendez-vous et la date de validité, il est procédé à une étape 166 lors de laquelle le serveur 26 vérifie l'authenticité du certificat temporaire à partir de la signature numérique et de la clé publique Ksp,,. Lors de cette étape, le serveur 26 vérifie également qu'un identifiant du terminal, tel que son adresse IP (Internet protocol) ou celui contenu dans le certificat CET, correspond à celui contenu dans le certificat temporaire. Si l'authenticité du certificat électronique temporaire n'est pas correcte ou si la correspondance entre les identifiants du terminal comparés n'est pas établie, alors le procédé retourne, par exemple, à l'étape 134 comme précédemment décrit. Dans le cas contraire, le procédé retourne à l'étape 142. [00111] Normalement, si les prévisions du plan de charge 32 sont correctes, lors de cette seconde exécution de l'étape 142, il est déterminé que la charge de travail du serveur 26 est suffisamment faible pour que le traitement requis puisse être exécuté par ce serveur. [00112] De nombreux autres modes de réalisation sont possibles. Par exemple, le message de convocation est diffusé jusqu'à ce qu'un seuil prédéterminé des terminaux aient reçu ce message de convocation et se soient connectés au moins une fois au serveur 24 de rendez-vous. Lorsque ce seuil prédéterminé est atteint, la diffusion du message de convocation cesse. Ensuite, le serveur 24 impose une mise à jour des terminaux restants. Par exemple, il transmet, par l'intermédiaire d'une liaison point à point, à chaque terminal restant un message de mise en demeure de réaliser la mise à jour sous peine de révocation de leur abonnement. [00113] Le seuil Sdelayed peut être choisi égal à zéro de sorte qu'aucun traitement immédiat des requêtes n'est possible. Dans cette variante, la première connexion est uniquement utilisée pour obtenir une date de rendez-vous. [00114] Le seuil Sdelayed peut aussi être ajusté dynamiquement. Par exemple, si le 40 serveur de rendez-vous mesure que le nombre de connexions établies simultanément pour exécuter un traitement prioritaire dépasse un seuil Smaxp, alors le seuil Sdelayed est diminué d'un pas prédéterminé pour réserver plus de capacité de traitement aux traitements prioritaires. [00115] Les différentes architectures matérielles peuvent être mises en oeuvre pour implémenter les fonctionnalités des serveurs 24 et 26. Par exemple, en variante, les serveurs 24 et 26 sont remplacés par un seul et même serveur utilisant le même calculateur électronique pour remplir les fonctions des serveurs 24 et 26. [00116] Le serveur de rendez-vous peut être implémenté ailleurs que dans la tête de réseau. Par exemple, il est implémenté dans un serveur indépendant de cette tête de réseau et raccordé à cette de réseau par l'intermédiaire d'un réseau grande distance de transmission d'informations. [00117] Des fonctionnalités du serveur de rendez-vous peuvent aussi être implémentées dans chaque terminal. Par exemple, dans ce cas, la tête de réseau 4 ou le serveur 26 de transaction transmet son plan de charge au terminal pour que celui-ci puisse sélectionner la date de rendez-vous à la fois en fonction de ce plan de charge et de son profil individuel d'utilisation. Typiquement, le calcul de la date de rendez-vous est identique à ce qui a été décrit dans le procédé de la figure 10. Ensuite, le terminal transmet la date de rendez-vous calculée au serveur de transaction pour que le plan de charge puisse être mis à jour en fonction de cette nouvelle date de rendez-vous. [00118] La mise à jour du plan de charge peut être réalisée par le serveur 24 ou 26. [00119] Le seuil S2 prédéterminé auquel est comparée la probabilité d'état Pl pour sélectionner la date de rendez-vous peut être déterminé en fonction du même profil individuel d'utilisation. Par exemple, le seuil S2 est pris égal au maximum de la probabilité Pl dans le profil 68. [00120] Le profil d'utilisation peut être réalisé de différentes façons. Par exemple, les profils d'utilisation peuvent contenir la probabilité qu'un terminal ou que l'ensemble des terminaux soient dans l'état inactif à la place de la probabilité qu'ils soient dans l'état actif. Dans ce cas, il est possible de calculer la probabilité que le terminal soit dans l'état actif à partir de la probabilité que ce terminal soit dans l'état inactif. Ainsi, le procédé précédemment décrit peut facilement être adapté à cette situation. [00121] Le profil d'utilisation peut également être construit uniquement à partir des instants de basculement relevés sur un seul cycle. De préférence le cycle est le dernier cycle réalisé. Dans ce cas, par exemple, la probabilité que le terminal soit dans l'état actif dans une plage horaire est prise égale à « 1 » si le terminal était dans l'état actif dans cette même plage horaire pendant le dernier cycle sinon la probabilité est prise égale à « 0 ». Ainsi, dans cette variante, la probabilité d'état n'est pas calculée à partir d'une moyenne d'instants de basculement enregistrés sur plusieurs cycles. [00122] A l'inverse, les profils d'utilisation peuvent aussi être construits à partir des instants de basculement relevés sur plus de deux cycles. [00123] Les durées des plages horaires ne sont pas nécessairement toutes identiques. [00124] Le profil d'utilisation peut comporter plusieurs périodes différentes découpées elles-mêmes en plages horaires. Par exemple, une première période de vingt-quatre heures correspond aux jours de la semaine et une seconde période de vingt-quatre heures correspond aux jours du week-end. On suppose dans ce cas que le comportement de l'utilisateur pendant les jours de la semaine a une cyclicité d'un jour de même que pendant les jours du week-end. [00125] II existe également d'autres façons de réaliser le plan de charge. Par exemple, dans un autre mode de réalisation, le plan de charge associe à chaque date de rendez-vous possible un taux d'inoccupation du serveur à la place de la charge prévisionnelle du serveur. La charge prévisionnelle du serveur peut être déduite du taux d'inoccupation prévu. Ainsi, le fonctionnement de ce mode de réalisation se déduit du fonctionnement du procédé de la figure 10. [00126] Le seuil b indiquant si le terminal est en permanence dans l'état actif peut aussi être calculé par le terminal et transmis au serveur dans sa requête de mise à jour. [00127] Le serveur de rendez-vous peut générer des dates de rendez-vous pour plusieurs serveurs de transaction. Dans ce cas, le serveur de rendez-vous sélectionne le plan de charge du serveur de transaction capable de réaliser le traitement requis, parmi les différents plans de charge de chacun des serveurs de transaction possibles. Seul le plan de charge sélectionné est utilisé pour calculer la date de rendez-vous. [00128] En variante, l'authentification du terminal et du serveur ainsi que la génération du certificat électronique temporaire et son utilisation sont omises. [00129] Dans une autre variante, l'état inactif ne correspond pas seulement à l'état éteint ou en veille du terminal. Par exemple, le terminal est considéré comme étant dans l'état inactif lorsqu'il est occupé à exécuter une tâche prioritaire. Une tâche est définie comme étant prioritaire si : - son exécution est ralentie par la connexion, en même temps, au serveur de transaction, et - l'utilisateur peut percevoir ce ralentissement de l'exécution de la tâche prioritaire. [00130] Par exemple, une tâche prioritaire est la navigation de l'utilisateur dans un menu du terminal. Une tâche prioritaire peut aussi être le désembrouillage du contenu multimédia et son affichage en clair lorsque l'utilisateur est en train de regarder ce contenu. On considère qu'un utilisateur est en train de regarder un contenu multimédia si depuis moins de X heures, il a agit sur le terminal par l'intermédiaire d'une interface homme-machine locale du terminal. Typiquement, X est inférieur à trois ou deux heures. Par exemple, s'il y a moins de X heures, l'utilisateur a changé de chaîne, monté le son ou navigué dans un menu interactif du terminal, alors on considère que le terminal est dans l'état inactif pour donner la priorité au traitement des actions demandées par l'utilisateur.5 REVENDICATIONS1. Procédé de lissage de la charge de travail d'un serveur de transaction exécutant des traitements en réponse à des requêtes transmises par des terminaux distants et 5 distincts les uns des autres, ce procédé comportant : - le calcul (146) d'une date de rendez-vous à laquelle le terminal doit établir une connexion avec le serveur de transaction pour lui transmettre ladite requête, - le déclenchement (162) de l'établissement par ce terminal de cette connexion en fonction de la date de rendez-vous calculée de manière à ce que l'établissement de 10 cette connexion se produise uniquement au moment ou après que cette date de rendez-vous soit arrivée, - la construction (158) d'un plan de charge du serveur de transaction en fonction des dates de rendez-vous calculées, ce plan de charge associant à chaque date possible une charge prévisionnelle de travail de ce serveur de transaction à cette date, 15 caractérisé en ce que le procédé comporte : - pour chaque terminal, le relevé (100) des instants de basculement entre : - un état actif du terminal dans lequel ce terminal est capable d'établir la connexion avec le serveur de transaction, et - un état inactif du terminal dans lequel ce terminal est incapable d'établir 20 cette connexion avec le serveur de transaction, - la construction (110) pour chaque terminal, à partir des instants de basculement relevés, d'un profil individuel d'utilisation associant à chaque date possible à venir une probabilité d'état correspondant à la probabilité que ce terminal soit dans l'état actif à cette date, 25 - le calcul (146) de la date de rendez-vous consiste à sélectionner, en fonction du plan de charge et du profil individuel, une date de rendez-vous associée dans le plan de charge du serveur de transaction à une charge prévisionnelle de travail inférieure à un premier seuil prédéterminé et, à la fois, associée dans le profil individuel d'utilisation de ce terminal à une probabilité d'état correspondant à une probabilité 30 que ce terminal soit dans l'état actif supérieure à un second seuil prédéterminé. 2. Procédé selon la revendication 1, dans lequel le procédé comporte : - la construction (142) d'un profil commun d'utilisation à partir des instants de basculement enregistrés pour tous les terminaux, ce profil commun associant à 35 chaque date possible à venir une probabilité commune d'état correspondant à la probabilité qu'un terminal quelconque parmi les différents terminaux soit dans l'état actif,- si le profil individuel d'un terminal associe à chaque date à venir une probabilité individuelle d'état correspondant à une probabilité que ce terminal soit dans l'état actif supérieure au second seuil prédéterminé quelle que soit la date à venir, alors le calcul de la date de rendez-vous consiste à sélectionner (150) une date de rendez-vous qui est en plus associée dans le profil commun d'utilisation à une probabilité commune d'état correspondant à une probabilité qu'un terminal quelconque parmi les différents terminaux soit dans l'état actif inférieure à un troisième seuil prédéterminé. 3. Procédé selon l'une quelconque des revendications précédentes, dans lequel le 10 calcul de la date de rendez-vous consiste en plus à sélectionner automatiquement la date de rendez-vous la plus proche de la date courante. 4. Procédé selon l'une quelconque des revendications précédentes, dans lequel avant le calcul de la date de rendez-vous, le terminal déclenche (136) l'établissement 15 d'une première connexion avec un serveur de rendez-vous pour obtenir la date de rendez-vous calculée à partir de son profil individuel d'utilisation puis interrompt (160) cette première connexion avant la date de rendez-vous calculée, la connexion dont le déclenchement est déclenché en fonction de la date de rendez-vous calculée formant alors la seconde connexion. 20 5. Procédé selon la revendication 4, dans lequel lors de la première connexion : - le terminal transmet (136) au serveur de rendez-vous un certificat électronique contenant un identifiant de ce terminal et une signature numérique de cet identifiant de terminal avec une clé privée connue de ce seul terminal, puis 25 - le serveur de rendez-vous vérifie (138) l'authenticité de l'identifiant du terminal à partir du certificat électronique reçu, puis - si le terminal est correctement authentifié, une date de rendez-vous est calculée puis transmise à ce terminal, et - si le terminal n'est pas correctement authentifié, aucune date de rendez-vous n'est 30 calculée pour ce terminal. 6. Procédé selon la revendication 5, dans lequel : - lors de la première connexion, uniquement si le terminal est correctement authentifié, le procédé comporte : 35 - la génération (154) d'un certificat électronique temporaire comportant au moins la date de rendez-vous calculée, un identifiant du terminal auquel cette date de rendez-vous a été allouée et une signature numérique de cette date calculéeet de cette identifiant du terminal avec une clé privée propre au serveur de transaction, puis - la transmission (156) de ce certificat électronique temporaire au terminal, - lors de la seconde connexion, le procédé comporte : - la transmission (162) par le terminal du certificat électronique temporaire reçu au serveur de rendez-vous ou au serveur de transaction, - la vérification (166) de l'authenticité du certificat électronique temporaire et de la correspondance entre l'identifiant du terminal contenu dans ce certificat électronique temporaire et un identifiant du terminal ayant transmis ce certificat électronique temporaire, et - si l'authenticité du certificat électronique temporaire est incorrecte ou si l'identifiant du terminal ayant transmis ce certificat électronique temporaire ne correspond pas à l'identifiant contenu dans ce certificat électronique temporaire reçu, alors l'exécution immédiate du traitement requis par ce terminal est systématiquement inhibée et, dans le cas contraire, l'exécution immédiate du traitement requis n'est pas systématiquement inhibée. 7. Procédé selon la revendication 6, dans lequel : - lors de la première connexion, le certificat électronique temporaire généré comporte 20 également une date de validité calculée à partir de la date de rendez-vous calculée, cette date de validité étant postérieure à la date de rendez-vous, et - lors de la seconde connexion, le procédé comporte la comparaison (164) de la date courante à la date de validité du certificat électronique temporaire reçu et l'inhibition systématique de l'exécution immédiate du traitement requis par ce terminal si la date 25 courante est postérieure à la date de validité du certificat électronique temporaire et, dans le cas contraire, l'exécution immédiate du traitement requis n'est pas systématiquement inhibée. 8. Procédé de fonctionnement d'un serveur pour la mise en oeuvre d'un procédé 30 conforme à l'une quelconque des revendications précédentes, dans lequel le serveur : - calcule (146) une date de rendez-vous à laquelle le terminal doit établir une connexion avec le serveur de transaction pour lui transmettre ladite requête, - construit (158) un plan de charge du serveur de transaction en fonction des dates de 35 rendez-vous calculées, ce plan de charge associant à chaque date possible une charge prévisionnelle de travail de ce serveur de transaction à cette date, caractérisé en ce que :- le serveur reçoit (136) le profil individuel d'utilisation d'un terminal associant à chaque date possible à venir une probabilité d'état correspondant à la probabilité que ce terminal soit dans l'état actif à cette date, - le serveur calcule (146) la date de rendez-vous en sélectionnant une date de rendez-vous associée dans le plan de charge du serveur de transaction à une charge prévisionnelle de travail inférieure à un premier seuil prédéterminé et, à la fois, associée dans le profil individuel d'utilisation de ce terminal à une probabilité d'état correspondant à une probabilité que ce terminal soit dans l'état actif supérieure à un second seuil prédéterminé. 9. Procédé de fonctionnement d'un terminal pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications 1 à 7, dans lequel ce terminal déclenche (162) l'établissement d'une connexion avec le serveur de transaction en fonction de la date de rendez-vous calculée de manière à ce que l'établissement de cette connexion se produise uniquement au moment ou après que cette date de rendez-vous soit arrivée, caractérisé en ce que, le terminal : - relève (100) des instants de basculement entre : - un état actif du terminal dans lequel ce terminal est capable d'établir la 20 connexion avec le serveur de transaction, et - un état inactif du terminal dans lequel ce terminal est incapable d'établir cette connexion avec le serveur de transaction, - construit (110), à partir des instants de basculement relevés, un profil individuel d'utilisation associant à chaque date possible à venir une probabilité d'état 25 correspondant à la probabilité que ce terminal soit dans l'état actif à cette date - transmet (136) son profil individuel d'utilisation construit à un serveur de rendez-vous et, en réponse, reçoit la date de rendez-vous calculée en fonction de son profil individuel d'utilisation. 30 10. Support (28, 66) d'enregistrement d'informations, caractérisé en ce qu'il comporte des instructions pour exécuter un procédé conforme à l'une quelconque des revendications précédentes, lorsque ces instructions sont exécutées par un calculateur électronique. 35 11. Terminal pour la mise en oeuvre d'un procédé conforme à l'une quelconque des revendications 1 à 7, dans lequel ce terminal comporte : - une carte réseau (54) pour établir une connexion avec un serveur de transaction,- un calculateur (62) électronique programmable apte à exécuter des instructions enregistrées sur un support d'enregistrement d'informations, caractérisé en ce que le terminal comporte un support (66) d'enregistrement d'informations comportant les instructions nécessaires à l'exécution d'un procédé conforme à l'une quelconque des revendications 1 à 7, lorsque ces instructions sont exécutées par le calculateur électronique programmable. 12. Terminal selon la revendication 11, dans lequel ce terminal comprend : - un désembrouilleur (56) apte à désembrouiller un contenu multimédia embrouillé 10 avec un mot de contrôle, et - un processeur (52) de sécurité apte à déchiffrer un cryptogramme du mot de contrôle contenu dans un message ECM (Entitlement Control Message). 13. Serveur pour la mise en oeuvre d'un procédé conforme à l'une quelconque des 15 revendications 1 à 7, dans lequel le serveur comporte un calculateur (38, 40) électronique programmable apte à exécuter des instructions enregistrées sur un support d'enregistrement d'informations, caractérisé en ce que le serveur comporte un support (28) d'enregistrement d'informations contenant des instructions pour l'exécution d'un procédé conforme à 20 l'une quelconque des revendications 1 à 7, lorsque ces instructions sont exécutées par le calculateur électronique.