Brevet FR3014622A1 — publié le 20150612

Architecture de transmission de données critiques dans des systèmes avioniques La présente invention concerne une architecture de transmission de données critiques dans des systèmes avioniques. Plus particulièrement, l'invention se rapporte à une telle architecture de transmission de données critiques dans des systèmes avioniques entre des moyens de production et des moyens de consommation de données reliés entre eux par au moins un chemin physique mis en oeuvre par des équipements intermédiaires de communication, chaque donnée critique étant transmise par au moins deux données l'une d'un premier type et l'autre d'un second type indépendantes, ne devant pas interférer entre elles et permettant en outre de vérifier l'intégrité de cette donnée critique. Chaque donnée du premier type ou du deuxième type étant transmise sous forme d'une unité de transmission de données comportant : - au moins une portion d'un message applicatif ; et - un message additionnel contenant des informations d'identification et de contrôle associées à ce message applicatif. Différentes architectures de transmission de données critiques dans des systèmes avioniques existent dans l'état de la technique. De manière générale, ces architectures de transmission sont basées sur la norme aéronautique ARINC 664. Ces architectures ainsi que les systèmes de transmission correspondants s'appuient sur des équipements intermédiaires (en anglais « Intermediate System » ou « IS ») de communication de type commutateurs et sur des interfaces d'extrémité (en anglais « End System » ou « ES ») localisés dans chacun des équipements abonnés. L'ensemble de tels équipements intermédiaires forme un chemin physique de transmission de données critiques dans des systèmes avioniques. Il existe également des données avioniques critiques qui doivent être absolument intègres l'une par rapport à l'autre. La transmission de telles données critiques ne peut pas être effectuée via des mêmes chemins physiques. Ainsi par exemple, les données critiques avioniques associées à des systèmes de 30 type « Catastrophique » ou « Hazardeous » sont généralement émises sous la forme d'une donnée de type contrôle et d'une ou de plusieurs données de type surveillance. A la réception de telles données, l'intégrité des données critiques initiales peut être contrôlée grâce à une comparaison de la ou de chaque donnée de type surveillance avec la donnée de type contrôle. Les données de type contrôle et la ou chaque donnée de type surveillance doivent ainsi être indépendantes l'une de l'autre afin de minimiser les risques de perturbations similaires. En particulier, des perturbations similaires pourraient causer des mêmes types d'erreurs dans toutes les données de type surveillance et de type contrôle ce qui rendrait impossible la détection des erreurs de transmission. A ce jour, la réponse à ce problème est d'utiliser des chemins physiques de transmission séparés et des ressources de transmission séparées. Ceci signifie par exemple que les données de types différents (contrôle, surveillance) ne doivent pas traverser les mêmes commutateurs ni les mêmes câbles ou ports physiques reliant différents noeuds d'un réseau informatique de communication avionique par exemple. Mais cette complexité n'est plus compatible notamment avec des objectifs de diminution de poids, de réduction globale des coûts des systèmes avioniques modernes, etc. De plus, cette complexité rend difficile l'analyse de tels systèmes dans la mesure où chaque utilisation d'un chemin physique par une donnée critique doit être associée à l'analyse de son exclusion vis-à-vis d'autres données critiques. La présente invention a pour but de proposer un système de transmission de trames de données applicatives avioniques permettant de détecter la non-intégrité d'un message applicatif à un niveau compatible avec des exigences aéronautiques et faisant abstraction du type de moyens de transmission du réseau informatique avionique. A cet effet, l'invention a pour objet une architecture de transmission de données critiques dans des systèmes avioniques, du type précité et dans laquelle : - le message additionnel de chaque unité de transmission comporte une séquence de contrôle destinée à contrôler l'intégrité du message applicatif ; et - chaque donnée du premier type et du deuxième type correspondant à cette donnée critique, sont transmises par un même chemin physique mis en oeuvre par des mêmes équipements intermédiaires de communication, et sont générées par des moyens de génération différents et dissemblables. Selon des modes particuliers de réalisation de l'invention, l'architecture de transmission de données critiques comporte l'une ou plusieurs des caractéristiques suivantes : - la dissemblance des moyens de génération consiste en des emplacements physiques, et/ou des identifications de partitions sources, et/ou des identifications de messages, et/ou des identifications de canal logique de communication, et/ou des identifications des moyens de production, et/ou des identifications du destinataire ou du groupe de destinataires, et/ou des types de réseau ou de protocole, et/ou des types de support physique, distincts, de ces moyens de génération ; - la dissemblance des moyens de génération consiste en outre en des lois de production prédéterminées différentes et/ou complémentaires d'au moins une partie des données correspondantes ; - la règle de sélection de la loi de production dépend des sources et/ou critères de dissemblances et des critères de paramétrage de cette règle de sélection, les critères de paramétrage de la loi de sélection consistante en : + un niveau de criticité de l'équipement émetteur et/ou de la partition source ; + un niveau de sécurité de l'équipement émetteur et/ou de la partition source ; + des critères de qualité affectés à un message par rapport à un autre ; - chaque unité de transmission comporte en outre une séquence d'identification comportant une partie statique permettant d'identifier le message applicatif correspondant à cette unité de transmission et une partie variable permettant de distinguer le message de manière unique et certaine ; - la séquence de contrôle correspondant à ladite unité de transmission est basée sur une séquence principale représentant un code de contrôle de redondance cyclique de la concaténation d'au moins une portion du message applicatif correspondant à ladite unité de transmission, avec la séquence d'identification ; - la séquence de contrôle et la séquence d'identification correspondant à une même unité de transmission sont distinctes ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une clé représentée par un champ de la partie variable de la séquence d'identification ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une clé représentée par une séquence variable dans le temps et connue par les moyens de production et de consommation à chaque instant ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une première clé représentée par un codage d'un champ de la partie variable de la séquence d'identification avec une deuxième clé représentée par une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification avec une première clé représentée par le résultat de l'application de l'opérateur XOR entre : - un champ de la partie variable de la séquence d'identification ; et - une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une clé représentée par un champ de la partie variable de la séquence d'identification ; et + la séquence principale ; la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une clé représentée par une séquence variable dans le temps et connue par les moyens de production et de consommation à chaque instant ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une première clé représentée par un codage d'un champ de la partie variable de la séquence d'identification avec une deuxième clé représentée par une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif avec une première clé représentée par le résultat de l'application de l'opérateur XOR entre : - un champ de la partie variable de la séquence d'identification ; et - une séquence connue par les moyens de production et de consommation ; et + la séquence principale ; - la ou chaque clé n'est connue que par les moyens de production et de consommation pour permettre en outre d'assurer la confidentialité des messages ; - pour un message applicatif formé d'une pluralité de portions ordonnées, la séquence de contrôle de l'unité de transmission associée à la première portion est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification correspondant à cette portion ; et - une valeur initiale prédéterminée ; et + la séquence principale correspondant à cette portion ; et la séquence de contrôle de l'unité de transmission associée à chaque portion suivante est le résultat de l'application de l'opérateur XOR entre : + une séquence auxiliaire résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification correspondant à cette portion ; et - une séquence auxiliaire correspondant à la portion précédente ; et + la séquence principale correspondant à cette portion ; - pour un message applicatif formé d'une pluralité de portions ordonnées, la séquence de contrôle de l'unité de transmission associée à la première portion est le résultat de l'application de l'opérateur XOR entre : + une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification et au moins une portion du message applicatif ; et - une valeur initiale prédéterminée ; et + la séquence principale correspondant à cette portion ; et la séquence de contrôle de l'unité de transmission associée à chaque portion suivante est le résultat de l'application de l'opérateur XOR entre : + une séquence auxiliaire résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification et d'au moins une portion du message applicatif ; et - une séquence auxiliaire correspondant à la portion précédente ; et + la séquence principale correspondant à cette portion ; - la séquence de contrôle est repartie dans la séquence d'identification selon une loi de distribution connue par les moyens de production et de consommation ; - la loi de distribution est constante dans le temps ; - la loi de distribution est variable dans le temps ; - la loi n'est connue que par les moyens de production et de consommation pour permettre en outre d'assurer la confidentialité des messages ; - la séquence d'identification comporte des informations choisies dans le groupe comprenant en outre : + des informations d'identification des moyens de production du message applicatif correspondant, + des informations d'identification du message applicatif correspondant, + des informations d'ordre d'élaboration du message applicatif correspondant, + des informations de numéro de séquence d'élaboration du message applicatif correspondant, + des informations de date d'élaboration du message applicatif correspondant ; - le message additionnel est associé au message applicatif en totalité ou portion de celui-ci par portion. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, sur lesquels : - la figure 1 est une vue schématique illustrant une architecture de transmission de données avioniques critiques selon l'invention ; - la figure 2 est une vue schématique illustrant une unité de transmission à transmettre par l'architecture de la figure 1 ; - la figure 3 est un schéma illustrant une division d'un message applicatif à transmettre par l'architecture de la figure 1 en une pluralité de portions ; - la figure 4 est une vue schématique d'un message additionnel sans distribution faisant partie de l'unité de transmission de la figure 2 ; - la figure 5 est un organigramme illustrant un cinquième mode de réalisation de l'invention ; et - la figure 6 est une vue schématique d'un message additionnel avec distribution faisant partie de l'unité de transmission de la figure 2. On a en effet représenté sur la figure 1, un exemple d'une architecture de transmission de données critiques désignée par la référence générale 10 sur cette figure 1. Cette architecture de transmission 10 est utilisable dans des systèmes avioniques. Une telle architecture de transmission 10 comporte par exemple des moyens de production de données avioniques critiques et des moyens de consommation de ces données avioniques critiques, désignés respectivement par les références générales 12 et 14 sur cette figure 1. Les moyens de production 12 sont représentés par tout moyen apte à produire des données avioniques critiques à destination des moyens de consommation 14. Un tel moyen comprend par exemple un équipement, une partie d'équipement, un capteur, une partition, une application, un logiciel et/ou un matériel. De manière analogue, les moyens de consommation 14 sont représentés par tout moyen apte à consommer des données avioniques critiques émises par les moyens de 30 production. Un tel moyen comprend par exemple un équipement, une partie d'équipement, un actuateur, une partition, une application, un logiciel et/ou un matériel. Les moyens de production 12 et de consommation 14 sont par exemple embarqués à bord d'un aéronef. Les moyens de production et de consommation sont raccordés entre eux par un 35 réseau informatique de communication avionique désigné par la référence générale 16 sur la figure 1. Ce réseau 16 comporte une pluralité de ressources matérielles, comme par exemple des câbles raccordant physiquement les moyens de production et de consommation entre eux et par exemple des commutateurs assurant le transfert entre ces moyens, des données numériques. Ce réseau 16 comporte également une pluralité de ressources immatérielles assurant un tel transfert au niveau logiciel. Ces ressources comportent par exemple des ressources de traitement, des ressources de mémorisation ou des ressources de communication. Le réseau 16 comporte également par exemple des équipements intermédiaires désignés par les références générales 22 et 24 sur la figure 1 pouvant être raccordés par un ensemble de moyens formant un sous-réseau désigné par la référence 25 sur cette figure 1 et constituant alors un chemin physique de transmission entre les moyens de production 12 et les moyens de consommation de données 14. Le réseau informatique 16 est conforme par exemple à la norme de 15 communication ARINC 664. L'architecture du réseau 16 est apte à supporter par exemple le concept d'avionique modulaire intégrée (IMA pour « Integrated Modular Avionics » en anglais). Les moyens de production 12 sont aptes à transmettre des données critiques vers les moyens de consommation 14 en utilisant le même chemin physique ou réseau 16. 20 Les données avioniques critiques comportent par exemple des consignes de pilotage de l'aéronef. En fonction de leurs tâches précises, ces consignes peuvent être redondantes et/ou répondre à un certain niveau de robustesse. En variante, les données avioniques critiques sont des données associées à des 25 moyens de production et/ou de consommation de type « Catastrophique » ou « Hazardeous ». Chaque donnée critique est transmise par au moins deux données l'une d'un premier type et l'autre d'un second type, indépendantes. Ainsi, par exemple, une donnée du premier type est une donnée de type contrôle 30 DC, et une donnée du deuxième type est une donnée de type surveillance DS permettant de vérifier l'intégrité de la donnée de type contrôle DC. En variante, chaque donnée avionique critique est transmise par une donnée de type contrôle DC et plusieurs données de type surveillance DS. Plus globalement, l'invention peut s'appliquer à tous types de flots de données ne 35 devant pas interférer entre elles. De son côté, chaque donnée de type contrôle DC ou de type surveillance DS ou plus globalement chaque type de flots de données, est transmis sous la forme d'une unité de transmission de données via le réseau informatique 16. Un exemple d'une telle unité de transmission est représenté schématiquement sur la figure 2 où cette unité de transmission est désignée par la référence générale 30. L'unité de transmission 30 comporte un message applicatif M représentant une donnée de type contrôle DC ou une donnée de type surveillance DS. De plus, l'unité de transmission 30 comporte un message additionnel MA comportant par exemple des informations d'identification et de contrôle associées au message applicatif M. En variante, l'unité de transmission est formée par une portion P du message applicatif M et un message additionnel MA associé à cette portion. Ainsi, le message M est divisé en une pluralité de portions P et chaque portion P est transmise via le réseau 16 par une unité de transmission. Chaque portion P représente donc une portion d'une donnée de type contrôle DC ou d'une donnée de type surveillance DS. Ainsi, le terme « unité de transmission de données » utilisé dans la présente description signifie l'association d'un message applicatif M ou d'une portion P de ce message applicatif M, et d'un message additionnel MA dans le sens défini ci-dessus. On a représenté sur la figure 3, un message M divisé en quatre portions P1, P2, P3 et P4. Ces portions sont transmises via le réseau 16 par des unités de transmission indépendantes désignées respectivement par des références générales 31, 32, 33 et 34 sur cette figure 3. Chaque unité de transmission 31, 32, 33 et 34 est formée par une portion P1, P2, P3 et P4 correspondante et par un message additionnel MA,, MA2, MA3 et MA4 comportant par exemple des informations d'identification et de contrôle associées à cette portion. Une telle division permet d'optimiser la couverture du mécanisme d'intégrité en adaptant la longueur de la portion aux performances intrinsèques du contrôle utilisé du réseau 16. Cette division permet en outre d'optimiser le fonctionnement du réseau 16 en adaptant la longueur de la portion à la vitesse de traitement de cette portion par les moyens de production 12 et par les moyens de consommation 14. Les moyens de production 12 comportent des moyens de génération d'unités de transmission correspondant aux données de type contrôle DC et des moyens de génération d'unités de transmission correspondant aux données de type surveillance DS. Ces moyens sont désignés respectivement par les références générales 42 et 43 sur la figure 1. Ainsi, les moyens de génération 42 ou 43 sont aptes à recevoir une donnée avionique critique issue des moyens de production 12. Pour chaque donnée avionique critique, les moyens 42 sont aptes à générer une donnée de type contrôle DC correspondant à cette donnée avionique critique et les moyens 43 sont aptes à générer une donnée de type surveillance DS correspondant à cette donnée avionique critique ou à cette donnée de type contrôle DC et plus globalement à tous les types de flots de données ne devant pas respectivement interférer. Les moyens 42 et 43 sont par ailleurs aptes à former une unité de transmission 30 pour chaque message applicatif M représentant une donnée de type contrôle DC ou une donne de surveillance DS, en ajoutant un message additionnel MA associé à ce message applicatif M. Les moyens 42 et 43 sont également aptes à générer une unité de transmission 30 pour chaque portion P associée à un message applicatif M. Finalement, les moyens 42 et 43 sont aptes à émettre les unités de transmission 30 générées dans le réseau 16. Les moyens de génération 42 et les moyens de génération 43 sont distincts. En particulier, ces moyens de génération 42 et 43 ont par exemple en des emplacements physiques distincts. En variante ou en complément, les moyens de génération 42 et 43 utilisent des lois de production prédéterminées différentes et/ou complémentaires d'au moins une partie des données correspondantes. Ces lois de production prédéterminées différentes et/ou complémentaires sont détaillées plus tard dans la description. En variante ou en complément, les moyens de génération 42 et 43 se différencient en d'autres sources et/ou critères. Par exemple on peut citer : l'identification de la partition ou application source ; l'identification du message ; l'identification du canal logique de communication; l'identification des moyens de production (processeur host, processeur élément) ; l'identification du destinataire ou du groupe de destinataires ; le type de réseau ou de protocole ; le type de support physique. Ces sources et/ou critères qui différencient les moyens de génération 42 et 43 impliquent la dissemblance de ces moyens. De plus, la règle de sélection de la loi de production (parmi les lois prédéterminées de codage de l'unité de transmission) au sein des moyens de génération 42 et 43, dépend des sources et/ou critères de dissemblances ainsi que des critères de paramétrage de cette règle de sélection. Les critères de paramétrage de la loi de sélection consistent par exemple en : - le niveau de criticité de l'équipement émetteur et/ou de la partition source ; - le niveau de sécurité de l'équipement émetteur et/ou de la partition source ; - et plus globalement les critères de qualité affectés à un message par rapport à un autre. De même, les moyens de consommation comportent des moyens de lecture d'unités de transmission correspondant aux données de type contrôle DC et des moyens de lecture d'unités de transmission correspondant aux données de type surveillance DS. Ces moyens sont désignés respectivement par les références générales 44 et 45 sur la figure 1. Les moyens de lecture 44 et 45 sont distincts et dissemblables dans le sens du terme défini ci-dessus. Ainsi, les moyens de lecture 44 sont aptes à recevoir des unités de transmission 30 correspondant aux donnée de type contrôle DC et les moyens de lecture 45 sont aptes à recevoir des unités de transmission 30 correspondant aux données de surveillance DS. Les moyens 44 et 45 sont aptes par ailleurs à extraire de chaque unité de transmission reçue, le message applicatif M ou la portion P du message applicatif M correspondant à cette unité de transmission. Un tel message M représente alors une donnée de type contrôle DC ou une donnée de type surveillance DS. De même, une telle portion P représente une portion d'une donnée de type contrôle DC ou d'une donnée de type surveillance DS. Les moyens 44 et 45 sont également aptes à lire le message additionnel MA 30 correspondant à chaque portion P ou à chaque message M reçu(e). Ce message additionnel MA permet notamment aux moyens de lecture 44 et 45 de vérifier l'intégrité du message M reçu ou de la portion P reçue. Les moyens de lecture 44 et 45 sont aussi aptes à reconstituer un message applicatif M à partir des portions P reçues de ce message. 35 En conséquence, ces moyens sont aptes à reconstituer chaque donnée de type contrôle DC ou de surveillance DS à partir des portions reçues de ces données. Finalement, les moyens de lecture 44 et 45 sont aptes à transmettre chaque donnée de type contrôle DC et la donnée de type surveillance DS correspondant à cette donnée de type contrôle DC à des moyens de vérification désignés par la référence générale 46 sur la figure 1. Ces moyens de vérification 46 sont aptes à analyser la donnée de type contrôle DC et la donnée de type surveillance DS correspondant à cette donnée de type contrôle DC pour former la donnée avionique critique correspondante. Dans la suite de la présente description, on ne distinguera plus un message applicatif M et une portion P d'un message applicatif M. Le terme « message applicatif M » signifiera un message applicatif M ou une portion P d'un message applicatif M dans le sens défini ci-dessus. La figure 4 illustre schématiquement un exemple de structure d'un message additionnel MA sans distribution associé à un message applicatif M. Un tel message M représente une donnée de type contrôle DC ou une donnée de type surveillance DS. Le message additionnel MA est apte à être formé par les moyens de génération 42 ou 43 et à être lu par les moyens de lecture 44 ou 45 de la figure 1. Ainsi, selon la figure 4, le message additionnel MA comporte une séquence d'identification MDA. Cette séquence d'identification MDA est formée par une partie statique ID permettant d'identifier le message applicatif M et sa source dans le réseau et une partie variable VAR permettant de distinguer le message applicatif M de manière unique et certaine et en particulier, de distinguer deux occurrences du même message. Ainsi par exemple, la partie statique ID comporte un premier champ et un deuxième champ. Le premier champ est par exemple de taille de 6 bits et est formé par exemple par un identificateur du producteur du message applicatif M. Cet identificateur identifie de manière unique les moyens de production 12 ayant émis ce message M dans le réseau 16. Il correspond par exemple à l'identificateur de la source (en anglais « Partition Id Source ») dans le cas de l'architecture IMA de type 30 ARINC 653. En variante, cet identificateur correspond au numéro de capteur associé aux moyens de production 12. En variante encore, cet identificateur correspond à la position des moyens de production 12. 35 Le deuxième champ est par exemple de taille de 10 bits et est formé par exemple par un identificateur du message applicatif M dans le réseau 16. La partie variable VAR de la séquence MDA comporte par exemple un champ MSN et un champ MPT. Le champ MSN est par exemple de taille de 16 bits et est formé par un numéro correspondant à l'ordre d'élaboration du message applicatif M. En variante, le champ MSN pourrait aussi associer à l'ordre d'élaboration du message applicatif M, l'ordre d'élaboration de la portion P pour le même ordre de message. Le champ MPT est par exemple de taille de 32 bits et comprend par exemple la date (instant) d'élaboration du message applicatif M. Le message additionnel MA comporte en outre une séquence de contrôle MCS destinée à contrôler l'intégrité du message applicatif M et est basée sur une séquence principale SP. La séquence principale SP est représentée par exemple par un code de contrôle de redondance cyclique CRC de la concaténation du message applicatif M avec la séquence d'identification MDA, c'est-à-dire : SP = CRC(M MDA) où le symbole 0 désigne l'opérateur de concaténation. Le code de contrôle de redondance cyclique CRC est obtenu par exemple avec utilisation d'un ou de plusieurs polynômes générateurs. Ces polynômes générateurs sont par exemple complémentaires pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC. Selon un premier mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une clé représentée par le champ MPT de la séquence d'identification MDA. Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN. Un tel codage est réalisé par exemple avec une loi de Hash (ou autres primitives cryptographiques) avec une clé représentée par le champ MPT. Ainsi, la clé est différente d'un message applicatif M à l'autre et est variable temporellement pour le même producteur. Pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC, les lois de Hash utilisées sont différentes ou complémentaires. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XORLEKeyA (ID o MSN); SPi où E KeyA désigne la primitive cryptographique utilisée (comme la loi de Hash par exemple) et KeyA désigne la clé représentée par le champ MPT. En variante, le codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne alors la relation suivante : MCS = XOR[EKeyA (ID 0 MSN 0 M); SPI. Selon un deuxième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une clé représentée par une séquence variable dans le temps. Cette séquence est connue par les moyens de production et de consommation à chaque instant. Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN. Un tel codage est réalisé par exemple avec une loi de Hash avec une clé à changement cyclique. Pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette 25 donnée de type contrôle DC, les lois de Hash utilisées sont différentes ou complémentaires. Le changement cyclique permet notamment aux moyens de production et de consommation de connaitre la clé sans l'avoir communiquée explicitement via le réseau 16. 30 Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XOR [EKeyA (,) (ID o MSN); SPi où KeyA(t) désigne la clé cyclique et variable dans le temps. En variante, le codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XOR[EKeyA(t) (ID o MSN o M); SPI. Selon un troisième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une première clé. Un tel codage est réalisé par exemple avec une loi de Hash. Pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC, les lois de Hash utilisées sont différentes ou complémentaires. Ladite partie de la séquence d'identification MDA est représentée par exemple par tout ou partie la partie statique ID et par tout ou partie du champ MSN. La première clé est représentée par un codage du champ MPT de la séquence d'identification MDA avec une deuxième clé. Un tel codage est réalisé par exemple par une fonction de codage avec une clé différente d'un message à l'autre et variable temporellement. La deuxième clé représentée par une séquence connue par les moyens de production et de consommation. Cette deuxième clé est connue uniquement par les moyens de consommation et de production concernés et est stockée dans leur table de configuration respective. Ceci signifie en particulier que la clé n'est pas apte à être connue extérieurement ce qui permet d'assurer l'authenticité des données transmises. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XOR[EKeyA (ID o MSN); SPI où KeyA désigne la première clé définie par la relation : KeyA = F KeyB(MPT) où F désigne la fonction de codage et KeyB la deuxième clé. En variante, le premier codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XORIEKeyA (ID o MSN o M);SPi. Selon un quatrième mode de réalisation de l'invention, la séquence de contrôle est le résultat de l'application de l'opérateur XOR entre une séquence auxiliaire et la séquence principale SP. Dans ce mode de réalisation, la séquence auxiliaire est une séquence résultant d'un codage d'au moins une partie de la séquence d'identification MDA avec une première clé. Un tel codage est réalisé par exemple avec une loi de Hash. Pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC, les lois de Hash utilisées sont différentes ou complémentaires. Ladite partie de la séquence d'identification MDA est représentée par exemple par la partie statique ID et par le champ MSN. La première clé est représentée par le résultat de l'application de l'opérateur XOR entre le champ MPT de la séquence d'identification MDA et une séquence connue par les moyens de production et de consommation. Cette séquence est connue uniquement par les moyens de consommation et de production concernés et est stockée dans leur table de configuration respective. Ceci signifie en particulier que la clé n'est pas apte à être connue extérieurement ce qui permet d'assurer l'authenticité des données transmises. La première clé est différente d'un message applicatif M à l'autre et est variable temporellement. Ainsi, la séquence de contrôle MCS peut être déterminée à l'aide de la relation suivante : MCS = XORLE'KeyA (ID 0 MSN); SP] où KeyA désigne la première clé définie par la relation : KeyA = XOR[KeyB;MPT] où KeyB désigne la séquence connue par les moyens de production et de consommation. En variante, le premier codage est appliqué à la partie statique ID, au champ MSN et au message applicatif M. Ceci donne la relation suivante : MCS = XORLEKeyA (ID o MSN o M); SPI. Dans les quatre modes de réalisation décrits ci-dessus, lorsqu'un message applicatif M fait référence à une portion P d'un message applicatif M, c'est-à-dire lorsque le message applicatif M est divisé en une pluralité de portions P, la création de la partie MCS du message additionnel MA associé à une portion P est indépendante des autres portions P du même message applicatif. Ainsi, dans les quatre modes de réalisation décrits ci-dessus, le procédé de contrôle de l'intégrité d'un message applicatif M est dit « sans chainage ». Dans la suite, on note Seq la séquence en entrée de la primitive cryptographique EKeyA , représentée par exemple par la loi de Hash, selon l'un des quatre modes de réalisations précédentes. Selon un cinquième mode de réalisation, la séquence en entrée de la primitive cryptographique E KeyA de la première portion P d'un message applicatif M est le résultat de l'application de l'opérateur XOR entre la séquence Seq, correspondant à la première portion P et une valeur initiale IV (de l'anglais « Initial Value ») prédéterminée, c'est-à-dire : MCS, = XOR[EKeyA (X0R[Seq,;/V]); SP]. La séquence en entrée du codage des portions P suivantes du même message applicatif M est le résultat de l'application de l'opérateur XOR entre la séquence Seq, et une séquence auxiliaire calculée pour la portion précédente : MCSt = XORIEKeyA (X0R[Seq, ; b;spj, où i désigne le numéro de la portion P dans le message applicatif M, désigne la séquence auxiliaire calculée pour la portion P ayant le numéro i -1, c'est-à- dire : SA; E KeyA (X0R[Seq, ; 4_11) et SA, = E KeyA( XOR[Seq, ; /V b Ainsi, ce mode de réalisation est récursif et est dit « avec chainage ». Ce mode de réalisation est par ailleurs expliqué par l'organigramme de la figure 5. Sur cette figure 5, un message applicatif M est divisé en trois portions désignées par les références générales P1, P2 et P3. Chaque portion de ce message est apte à être transmise par une unité de transmission. Ainsi, comme illustré sur cette figure 5, la séquence de contrôle MCS, correspondant à la première portion P1 est obtenue d'après les formules ci-dessus en utilisant une première séquence auxiliaire SA,. Cette première séquence auxiliaire SA1 est par ailleurs obtenue en utilisant la séquence Seq correspondante et la valeur initiale IV. La séquence de contrôle MCS2 correspondant à la deuxième portion P2 est obtenue d'après les formules ci-dessus en utilisant une deuxième séquence auxiliaire SA2. Cette deuxième séquence auxiliaire SA2 est par ailleurs obtenue en utilisant la séquence Seq correspondante et la première séquence auxiliaire SA,. La séquence de contrôle MCS3 correspondant à la troisième portion P3 est obtenue de manière analogue. Dans les cinq modes de réalisation décrits ci-dessus, les séquences MDA et MCS sont distinctes comme ceci est montré sur la figure 4. Ainsi, dans ces modes de réalisation, le message additionnel MA est dit « sans distribution ». Selon un sixième mode de réalisation, la séquence de contrôle MCS est repartie dans la séquence d'identification MDA selon une loi de distribution. Ainsi, dans ce mode de réalisation, le message additionnel MA est dit « avec distribution ». La figure 6 illustre schématiquement un exemple de structure d'un message additionnel MA avec distribution associé à un message applicatif M. Cette loi de distribution est connue par les moyens de production et de consommation. Elle définit par exemple des mêmes positions fixes des portions de la séquence MCS dans la séquence MDA pour tous les messages applicatifs M. En variante, cette loi définit par exemple des positions variables des portions de la séquence MCS dans la séquence MDA pour des différents messages applicatifs M en fonction par exemple de l'occurrence d'un message applicatif M sur l'autre. Dans ce dernier cas, la loi de distribution est donc variable dans le temps. Pour un message M représentant une donnée de type contrôle DC et pour un message M représentant une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC, les lois de distribution utilisées sont différentes ou complémentaires. Les moyens de génération 42 et 43 permettent de former un message additionnel MA comportant la séquence de contrôle MCS repartie dans la séquence d'identification MDA selon cette loi. De même, les moyens de lecture 44 et 45 sont aptes à extraire la séquence de contrôle MCS de la séquence d'identification MDA en utilisant cette loi. Dans ce mode de réalisation, la séquence de contrôle MCS est égale par exemple à la séquence principale, c'est-à-dire : MCS = SP . Autrement dit, cette séquence de contrôle MCS est créée sans aucun codage. En variante, la séquence de contrôle MCS est créée selon l'une des cinq techniques correspondant aux cinq premiers modes de réalisation de l'invention. Bien entendu, de nombreuses autres combinaisons des modes de réalisation sont également possibles. Le fonctionnement de l'architecture 10 selon l'invention va être décrit maintenant. Une consigne produite par les moyens de production 12 à destination des moyens de consommation 14 est d'abord transformée en une donnée avionique critique. Cette donnée avionique critique est ensuite traitée par les moyens de génération d'unités de transmission 42 et 43. Ainsi, les moyens de génération 42 génèrent une donnée de type contrôle DC et le moyens de génération 43 génèrent une donnée de type surveillance DS correspondant à cette donnée de type contrôle DC ou à la donnée avionique critique initiale. Chaque donnée de type contrôle DC ou de type surveillance DS est ensuite représentée par un message applicatif M. Dans les moyens 42 ou 43, le message applicatif M est divisé en une pluralité de portions P. Une telle division s'effectue par exemple en fonction de la longueur du 15 message M. Cette division permet notamment d'optimiser le fonctionnement de différents composants du réseau 16 en fonction de la vitesse de traitement des données. Dans certains cas, le message M n'est pas divisé. Ensuite, les moyens de génération 42 ou 43 associent à ce message applicatif M 20 ou à une portion P correspondant à ce message M un message additionnel MA. Le message additionnel MA contient des informations d'identification et de contrôle associées à ce message applicatif M. Les lois de production d'un message additionnel correspondant à une donnée de type contrôle DC et à une donnée de type surveillance DS correspondante, sont 25 dissemblables ou/et complémentaires. Ainsi, les moyens 42 ou 43 construisent d'abord une séquence d'identification MDA. Cette séquence peut être associée au message applicatif entier M ou à sa portion P. Les moyens 42 ou 43 construisent ensuite une séquence de contrôle MCS en 30 utilisant l'une des techniques de construction décrites ci-dessus. Pour le sixième mode de réalisation, les moyens de génération d'unités de transmission 42 ou 43 font en plus une répartition de la séquence de contrôle MCS dans la séquence d'identification MDA selon une loi de distribution. Ainsi, le message applicatif M ou la portion P et le message additionnel MA 35 associé forment une unité de transmission qui est transmise ensuite dans le réseau 16. Après la réception de l'unité de transmission par les moyens de consommation 14, l'intégralité du message applicatif M ou de sa portion P correspondant à une donnée de type contrôle DC est vérifiée par les moyens de lecture 44. L'intégralité du message applicatif M ou de sa portion P correspondant à une donnée de type surveillance DS est vérifiée par les moyens de lecture 45. Ainsi, les moyens de lecture 44 ou 45 extraient d'abord le message applicatif M ou sa portion P de l'unité de transmission reçue. Pour le sixième mode de réalisation, les moyens de lecture 44 ou 45 extraient en plus la séquence de contrôle MCS de la séquence d'identification MDA selon la loi de distribution. Les moyens de lecture 44 ou 45 construisent ensuite une séquence de contrôle MCS' en utilisant le message M reçu ou sa portion P reçue et la séquence MDA reçue. Cette construction est basée sur la même technique de production utilisée par les moyens de génération d'unités de transmission 42 ou 43. Ensuite, les moyens de lecture 44 ou 45 comparent la séquence de contrôle MCS reçue avec la séquence de contrôle MCS' reconstruite. Si les deux séquences sont identiques, la transmission du message M ou de sa portion P a été effectuée sans erreur. Si les deux séquences ne sont pas identiques, la transmission du message M ou de sa portion P a été effectuée avec des erreurs. Après la réception de toutes les portions P correspondant au même message applicatif M, les moyens de lecture 44 ou 45 reconstituent ce message M et le transmettent ensuite dans les moyens de consommation 14. Pour un message M représentant une donnée de type contrôle DC, les moyens de lecture 44 transmettent cette donnée à l'unité de vérification 46. Pour un message M représentant une donnée de type surveillance DS, les moyens de lecture 45 transmettent cette donnée aux moyens de vérification 46. Finalement, les moyens de vérification 46 contrôlent l'intégrité de la donnée de type contrôle DC à l'aide de la donnée de type surveillance DS correspondante. L'architecture 10 permet ainsi de transmettre en toute fiabilité, ces données de différents types (contrôle, surveillance) en utilisant le même chemin physique ce qui représente un avantage particulier de la présente invention. Bien entendu d'autres modes de réalisation peuvent encore être envisagés. De plus cette architecte peut s'appliquer pour des données autres que les données de type contrôle et de type surveillance comme décrit précédemment et s'appliquer de façon générale à toutes les données ne devant pas interférer. REVENDICATIONS1.- Architecture (10) de transmission de données critiques dans des systèmes avioniques entre des moyens (12) de production et des moyens (14) de consommation de données reliés entre eux par au moins un chemin (16) physique mis en oeuvre par des équipements intermédiaires de communication, chaque donnée critique étant transmise par au moins deux données l'une d'un premier type et l'autre d'un second type indépendantes, ne devant pas interférer entre elles et permettant en outre de vérifier l'intégrité de cette donnée critique, chaque donnée du premier type ou du deuxième type étant transmise sous forme d'une unité (30) de transmission de données comportant : - au moins une portion (P) d'un message applicatif (M) ; et - un message additionnel (MA) contenant des informations d'identification et de contrôle associées à ce message applicatif (M) ; caractérisée : - en ce que le message additionnel (MA) de chaque unité de transmission (30) comporte une séquence de contrôle (MCS) destinée à contrôler l'intégrité du message applicatif (M) ; et - en ce que chaque donnée du premier type et du deuxième type correspondant à cette donnée critique, sont transmises par un même chemin physique (16) mis en oeuvre par des mêmes équipements intermédiaires de communication, et sont générées par des moyens (42 ; 43) de génération différents et dissemblables. 2.- Architecture (10) selon la revendication 1, caractérisée en ce que la dissemblance des moyens de génération (22 ; 24) consiste en des emplacements physiques, et/ou des identifications de partitions sources, et/ou des identifications de messages, et/ou des identifications de canal logique de communication, et/ou des identifications des moyens de production, et/ou des identifications du destinataire ou du groupe de destinataires, et/ou des types de réseau ou de protocole, et/ou des types de support physique, distincts, de ces moyens de génération. 3.- Architecture (10) selon la revendication 1 ou 2, caractérisée en ce que la dissemblance des moyens de génération (22 ; 24) consiste en outre en des lois de production prédéterminées différentes et/ou complémentaires d'au moins une partie des données correspondantes. 4.- Architecture (10) selon la revendication 3, caractérisée en ce que la règle de sélection de la loi de production dépend des sources et/ou critères de dissemblances et des critères de paramétrage de cette règle de sélection, les critères de paramétrage de la loi de sélection consistante en :- un niveau de criticité de l'équipement émetteur et/ou de la partition source ; - un niveau de sécurité de l'équipement émetteur et/ou de la partition source ; - des critères de qualité affectés à un message par rapport à un autre. 5.- Architecture (10) selon l'une quelconque des revendications précédentes, caractérisée : - en ce que chaque unité de transmission (30) comporte en outre une séquence d'identification (MDA) comportant une partie statique (ID) permettant d'identifier le message applicatif (M) correspondant à cette unité de transmission et une partie variable (VAR) permettant de distinguer le message (M) de manière unique et certaine ; et - en ce que la séquence de contrôle (MCS) correspondant à ladite unité de transmission (30) est basée sur une séquence principale (SP) représentant un code de contrôle de redondance cyclique (CRC) de la concaténation d'au moins une portion (P) du message applicatif (M) correspondant à ladite unité de transmission, avec la séquence d'identification (MDA). 6.- Architecture (10) selon la revendication 5, caractérisée en ce que la séquence de contrôle (MCS) et la séquence d'identification (MDA) correspondant à une même unité de transmission sont distinctes. 7.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une clé (KeyA) représentée par un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - la séquence principale (SP). 8.- Architecture selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une clé (KeyA(t)) représentée par une séquence variable dans le temps et connue par les moyens de production (12) et de consommation (14) à chaque instant ; et - la séquence principale (SP). 9.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une première clé (KeyA) représentée par un codage d'un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) avec unedeuxième clé (KeyB) représentée par une séquence connue par les moyens de production (12) et de consommation (13); et - la séquence principale (SP). 10.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) avec une première clé (KeyA) représentée par le résultat de l'application de l'opérateur XOR entre : - un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - une séquence (KeyB) connue par les moyens de production (12) et de consommation (14) ; et - la séquence principale (SP). 11.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une clé (KeyA) représentée par un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - la séquence principale (SP). 12.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une clé (KeyA(t)) représentée par une séquence variable dans le temps et connue par les moyens de production (12) et de consommation (14) à chaque instant ; et - la séquence principale (SP). 13.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une première clé (KeyA) représentée par un codage d'un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) avec une deuxième clé (KeyB) représentée par une séquence connue par les moyens de production (12) et de consommation (14) ; et- la séquence principale (SP). 14.- Architecture (10) selon la revendication 6, caractérisée en ce que la séquence de contrôle (MCS) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) avec une première clé (KeyA) représentée par le résultat de l'application de l'opérateur XOR entre : - un champ (MPT) de la partie variable (VAR) de la séquence d'identification (MDA) ; et - une séquence (KeyB) connue par les moyens de production (12) et de consommation (14) ; et - la séquence principale (SP). 15.- Architecture (10) selon l'une quelconque des revendications 6 à 14, caractérisée en ce que la ou chaque clé (KeyA, KeyB) n'est connue que par les moyens de production (12) et de consommation (14) pour permettre en outre d'assurer la confidentialité des messages (M). 16.- Architecture (10) selon l'une quelconque des revendications 7 à 15, caractérisée en ce que, pour un message applicatif (M) formé d'une pluralité de portions (P) ordonnées, la séquence de contrôle (MCS) de l'unité de transmission (20) associée à la première portion (P) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) correspondant à cette portion (P) ; et - une valeur initiale (IV) prédéterminée ; et - la séquence principale (SP) correspondant à cette portion ; et la séquence de contrôle (MCS) de l'unité de transmission (20) associée à chaque portion (P) suivante est le résultat de l'application de l'opérateur XOR entre : - une séquence auxiliaire (SA) résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) correspondant à cette portion (P) ; et - une séquence auxiliaire (SA) correspondant à la portion (P) précédente et - la séquence principale (SP) correspondant à cette portion. 17.- Architecture (10) selon l'une quelconque des revendications 7 à 15, caractérisée en ce que, pour un message applicatif (M) formé d'une pluralité de portions (P) ordonnées, la séquence de contrôle (MCS) de l'unité de transmission (20) associée à la première portion (P) est le résultat de l'application de l'opérateur XOR entre : - une séquence résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) et au moins une portion (P) du message applicatif (M) ; et - une valeur initiale (IV) prédéterminée ; et - la séquence principale (SP) correspondant à cette portion ; et la séquence de contrôle (MCS) de l'unité de transmission (20) associée à chaque portion (P) suivante est le résultat de l'application de l'opérateur XOR entre : - une séquence auxiliaire (SA) résultant d'un codage d'une séquence représentée par le résultat de l'application de l'opérateur XOR entre : - au moins une partie de la séquence d'identification (MDA) et d'au moins une portion (P) du message applicatif (M) ; et - une séquence auxiliaire (SA) correspondant à la portion (P) précédente ; et - la séquence principale (SP) correspondant à cette portion. 18.- Architecture (10) selon l'une quelconque des revendications 7 à 17 caractérisée en ce que la séquence de contrôle (MCS) est repartie dans la séquence d'identification (MDA) selon une loi de distribution connue par les moyens de production (12) et de consommation (14). 19.- Architecture (10) selon la revendication 18, caractérisée en ce que la loi de distribution est constante dans le temps. 20.- Architecture (10) selon la revendication 19, caractérisé en ce que la loi de distribution est variable dans le temps. 21.- Architecture (10) selon l'une quelconque des revendications 18 à 20, caractérisée en ce que la loi n'est connue que par les moyens de production (12) et de consommation (14) pour permettre en outre d'assurer la confidentialité des messages (M). 22.- Architecture (10) selon l'une quelconque des revendications précédentes, caractérisée en ce que la séquence d'identification (MDA) comporte des informations choisies dans le groupe comprenant en outre :- des informations d'identification des moyens de production du message applicatif (M) correspondant, - des informations d'identification du message applicatif (M) correspondant, - des informations d'ordre d'élaboration du message applicatif (M) correspondant, - des informations de numéro de séquence d'élaboration du message applicatif (M) correspondant, - des informations de date d'élaboration du message applicatif (M) correspondant. 23.- Architecture (10) selon l'une quelconque des revendications précédentes, caractérisée en ce que le message additionnel (M) est associé au message applicatif en totalité ou portion (P) de celui-ci par portion (P).