Brevet FR3023636A1 — publié le 20160115

ARCHITECTURE POUR SYSTEMES TELEOPERES DOMAINE TECHNIQUE GÉNÉRAL ET ART ANTÉRIEUR La présente invention est relative aux systèmes téléopérés tels que des drones aériens ou terrestres. Les systèmes téléopérés sont équipés de liaisons de données qui sont soit des liaisons de données internes que le téléopérateur contrôle totalement, soit des liaisons de données externes par rapport au téléopérateur (SATCOM par exemple). Dans le cas d'une liaison de données externe, l'intégrité de la liaison lo n'est pas contrôlée. A ce jour, seule l'utilisation d'une liaison de données interne permet au téléopérateur de garantir l'intégrité de l'information transmise au véhicule télé-opéré et de certifier l'ensemble du système. Cette certification nécessite malgré tout le déploiement de moyens 15 importants et peut s'avérer d'un coût prohibitif. En particulier, les systèmes téléopérés sont appelés à réaliser leur mission de façon de plus en plus automatisée en faisant appel à des algorithmes de navigation potentiellement très évolutifs pas nécessairement déterministes (ou dont la convergence ne sera pas 20 démontrable) basés sur des informations multi-capteurs. Les interfaces opérateurs au sol sont quant à elles complexes et potentiellement hétérogènes (dans la majorité des cas ces interfaces/supports ne sont pas certifiables). Un but général de l'invention est de résoudre ces problématiques et 25 de proposer une architecture permettant une certification de la chaîne de contrôle et de commande à moindre coût. En particulier, le téléopérateur qui a le contrôle effectif du véhicule opéré doit maîtriser les paramètres de sécurité du vol et notamment avoir la maîtrise de la trajectoire du véhicule (pas de sortie de 30 zone de celui-ci), - avoir la maîtrise de la zone de retombée en cas de panne moteur ou de « crash » (il faut bien entendu éviter tout « crash » incontrôlé pour ne pas risquer des accidents sur des zones interdites telles que des zones fortement peuplées et permettre, en cas de difficultés, d'optimiser un atterrissage sur des zones plus propices), - surveiller en permanence l'état des différents sous-ensembles impliqués dans la sécurité du vol (énergie, motorisation, liens de contrôle, navigation, ...). PRÉSENTATION GÉNÉRALE DE L'INVENTION A cet effet, l'invention propose une architecture de système téléopéré comportant : - au moins une interface au sol à partir de laquelle un opérateur peut commander un véhicule téléopéré, - au moins un ensemble de mission dans ledit véhicule, - une liaison de données entre ladite interface et ledit ensemble de mission, caractérisé en ce qu'il comporte au sol et dans le véhicule des systèmes de contrôle de sécurité adaptés pour signer et/ou authentifier des données et/ou commandes critiques échangées entre le sol et le véhicule, et/ou pour vérifier l'intégrité de ces données. L'authentification et la signature des données permettent de fournir au téléopérateur les moyens de garantir les commandes reçues à bord et 25 l'information utilisée pour la prise de décision (position avion, état des sous-ensembles critiques). La vérification de l'intégrité permet de garantir que les ordres émis par le téléopérateur, comme les informations qu'il reçoit, n'ont pas été modifiés par la chaîne de transmission. 30 Ainsi, il est possible d'utiliser au sol comme à bord du véhicule des interfaces et ensembles de missions de faible niveau de criticité, en même temps que des interfaces et ensembles de mission de plus haut niveau de criticité. Par ailleurs, dans des variantes possibles, des moyens sont prévus pour permettre au téléopérateur de garantir que le véhicule est maintenu 5 dans un espace préalablement défini. Dans une variante notamment, un système de contrôle de sécurité du véhicule est adapté pour vérifier si le véhicule téléopéré est maintenu dans une enveloppe de sécurité prédéfinie par le sol et pour déclencher une action prédéterminée lorsque ce n'est pas le cas. 10 Dans une autre variante encore, il est prévu une chaîne de liaison de données de sécurité indépendante afin de permettre de déclencher une action sécurité prédéterminée à partir du sol. Dans une autre variante encore, le système de contrôle de sécurité du véhicule est adapté pour réceptionner une série d'ordres simples en 15 provenance du contrôle aérien. PRÉSENTATION DES FIGURES D'autres caractéristiques et avantages de l'invention ressortiront 5 encore de la description qui suit, laquelle est purement illustrative et non limitative, et doit être lue en regard des figures annexées sur lesquelles : - la figure 1 illustre un schéma de principe d'une mise en oeuvre possible de l'invention ; - les figures 2 et 3 illustrent deux autres modes de mise en oeuvre 10 possible de l'invention. DESCRIPTION D'UN OU PLUSIEURS MODES DE RÉALISATION L'architecture illustrée sur la figure 1 comporte une partie 1 au sol et une partie 2 sur le véhicule téléopéré. 15 Au sol, l'architecture comprend au moins une interface 3 à partir de laquelle un opérateur peut commander le véhicule téléopéré, un concentrateur 4 permettant d'assurer la liaison de données avec le véhicule, ainsi qu'une interface 5 qui est d'un niveau de criticité (DAL ou « Development Assurance Level » selon la terminologie anglo-saxonne) 20 plus élevé que l'interface 3 et le concentrateur 4. Un système de contrôle de sécurité 6 est prévu au sol. Ce système est également d'un niveau de criticité élevé et a les fonctions suivantes : - il signe les commandes critiques émises par l'une ou l'autre des interfaces 3 et 5 à destination du bord du véhicule (mise en 25 oeuvre d'un chiffrement) ; - il vérifie l'intégrité des données d'état reçues régulièrement du bord (position, statut de l'équipement, etc.). La vérification d'intégrité se fait à la fois spatialement et temporellement. L'état reçu du bord est alors classé par le système selon trois états : 30 fonctionnel, dégradé, non-fonctionnel ; - il vérifie la cohérence entre la commande émise vers le bord et le retour de commande qui est transmis du bord par l'ensemble critique de celui-ci ; - il transmet régulièrement au bord des requêtes d'authentification (mise en oeuvre d'une fonction challenge) ; - il recopie les consignes émises par l'interface de mission 5 à destination du bord afin de contrôler celles-ci (boucle courte de sécurité). Une architecture similaire est également prévue à bord du véhicule. 10 Ce dernier intègre à cet effet un ou plusieurs ensembles de mission 7 de faible niveau de criticité, un ou plusieurs ensembles de mission 8 à haut niveau de criticité, un concentrateur 9 permettant d'assurer la liaison avec le sol, et un système de sécurité 10. Ce système de contrôle de sécurité 10 est également à haut niveau 15 de criticité et met en oeuvre les contrôles suivants : - il diffuse vers l'ensemble critique 8 la commande en provenance du sol après décodage ; - il vérifie l'intégrité de cette commande avant sa diffusion vers l'ensemble critique 8 ; 20 - il émet régulièrement à destination des interfaces 3 et 5 au sol des demandes d'authentification (challenge) ; - il vérifie la validité temporelle des commandes en provenance du sol (vieillissement) ; - il émet vers le sol des acquittements de consignes de l'ensemble 25 critique 8 téléopéré ; - il signe les contrôles et statuts issus de l'ensemble critique téléopéré 8. On notera ici que les composants et les algorithmes signant les commandes depuis le sol et signant les contrôles depuis le bord sont 30 identiques. Des clés hautement sécurisées et des algorithmes mathématiques robustes sont utilisés pour assurer que la probabilité de recevoir des ordres/états erronés sans pouvoir les détecter soit très faible(inféreiure à un niveau équivalent à la fonction qu'il sert). Les boîtiers des différentes unités de traitement utilisés disposent d'une horloge interne précise initialisée sur une même base de temps. 5 L'horloge de ces boîtiers est choisie robuste à la perte de référence. Différentes variantes de mise en oeuvre sont bien entendu possibles. Notamment, dans une première variante possible (véhicule automatisé), le système de sécurité 10 du véhicule est capable de vérifier si le véhicule est maintenu dans une enveloppe de sécurité (zone 10 tridimensionnelle, statut critique...) prédéfinie par le sol. Dans ce mode et dans le cas où les commandes en provenance du bord ou les états du sous-ensemble critique 8 ne sont pas conformes à cette enveloppe de sécurité, le système 10 déclenche une action prédéterminée (isolation des commandes extérieures et/ou applications 15 des règles de sécurité, par exemple). Dans une autre variante encore (figure 2 - chaîne dédiée de secours du système), le système 10 est capable de réceptionner un ordre simple (type discret depuis une chaîne 11 de liaison de données de sécurité indépendante). Dans ce cas, le système déclenche une action 20 prédéterminée (ex.: isolation des commandes extérieures et/ou applications des règles de sécurité). Dans une troisième variante également (figure 3 - prise de contrôle par le contrôle aérien), dans le cas d'une perte de contrôle de la station de contrôle (involontaire ou volontaire), le système de sécurité du véhicule 25 est capable de réceptionner une série d'ordres simples en provenance du contrôle aérien (poste ATC 13) via un lien « VHF » (poste 12). L'authenticité de ces commandes est vérifiée par un mécanisme de signature sur la base de clés échangées entre l'ATC et le téléopérateur au préalable. 30 REVENDICATIONS1. Architecture de système télé-opéré comportant : - au moins une interface au sol à partir de laquelle un opérateur peut commander un véhicule télé-opéré, - au moins un ensemble de mission dans ledit véhicule, - une liaison de données entre ladite interface et ledit ensemble de mission, caractérisé en ce qu'il comporte au sol et dans le véhicule des systèmes de contrôle de sécurité adaptés pour signer et/ou authentifier des données et/ou commandes critiques échangées entre le sol et le véhicule, et/ou pour vérifier l'intégrité de ces données. 2. Architecture selon la revendication 1, caractérisée en ce que le système de contrôle de sécurité au sol est adapté pour signer les commandes critiques émises par l'une ou l'autre des interfaces à destination du bord du véhicule et pour vérifier l'intégrité des données d'état reçues du bord. 3. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité au sol est adapté pour vérifier la cohérence entre les données de commande émises à destination du bord du véhicule et le retour de commande qui est transmis du bord du véhicule par un ensemble critique télé-opéré. 4. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité au sol est adapté pour recopier et contrôler des données de commande émises à destination du bord par une interface opérateur de mission de haute criticité. 5. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité à bord du véhicule est adapté pour authentifier les données de commande à destination d'un ensemble télé-opéré de haute criticité à bord du véhicule et vérifier leur intégrité. 6. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité à bord du véhicule est adapté pour vérifier la validité temporelle des commandes en provenance du sol. 7. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité à bord du véhicule est adapté pour émettre vers le sol des acquittements de consignes d'un ensemble critique à bord du véhicule télé-opéré. 8. Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité à bord du véhicule est adapté pour signer les contrôles et statuts issus d'un ensemble critique à bord du véhicule télé-opéré. 9. Architecture selon l'une des revendications précédentes, caractérisée en ce qu'un système de contrôle de sécurité au sol (respectivement à bord du véhicule) est adapté pour transmettre régulièrement au bord (respectivement au sol) des requêtes d'authentification. 10.Architecture selon l'une des revendications précédentes, caractérisée en ce qu'un système de contrôle de sécurité du véhicule est adapté pour vérifier si le véhicule téléopéré est maintenu dans une enveloppe de sécurité prédéfinie par le sol et pour déclencher une action prédéterminée lorsque ce n'est pas le cas. 11.Architecture selon l'une des revendications précédentes, caractérisée en ce qu'elle comporte en outre une chaîne de liaison de données de sécurité indépendante afin de permettre de déclencher une action sécurité prédéterminée à partir du sol. 12.Architecture selon l'une des revendications précédentes, caractérisée en ce que le système de contrôle de sécurité du véhicule est adapté pour réceptionner une série d'ordres simples en provenance du contrôle aérien. 10