Brevet FR3028698A1 — publié le 20160520

SYSTEME ET PROCÉDÉ DE COMMUNICATION POUR UN CENTRE DE CONTROLE AERIEN DOMAINE TECHNIQUE GENERAL ET ART ANTERIEUR La présente invention concerne le domaine général des systèmes de communication, en particulier, un système de communication pour un centre de contrôle du trafic aérien à des fins civiles et/ou militaires. De manière connue, un centre de contrôle aérien permet de contrôler les aéronefs situés dans une zone de navigation aérienne. Un opérateur d'un centre de contrôle aérien permet de communiquer vocalement avec chaque pilote d'aéronef de ladite zone de navigation aérienne. En pratique, l'opérateur peut contrôler aussi bien des aéronefs civils que des aéronefs militaires. Afin de conserver la confidentialité des communications échangées entre un centre de contrôle aérien et un aéronef militaires, les communications peuvent être cryptées. Pour assurer le contrôle aérien, chaque opérateur d'un centre de contrôle est équipé d'un équipement de communication vocale, en particulier un micro-casque, pour écouter et parler aux pilotes des aéronefs ainsi que d'un poste de gestion pour activer des fonctions, par exemple, un changement de fréquences de communication et un chiffrement des données vocales échangées. Le poste de gestion se présente de manière classique sous la forme d'un dispositif tactile afin de permettre un accès simple et ergonomique de l'opérateur aux fonctions affichées sur le dispositif tactile. En référence à la figure 1, le système de communication comporte une première voie de communication publique V1, dite « voie noire », et deuxième voie de communication sécurisée V2, dite « voie rouge ». Contrairement à la première voie de communication publique V1, la voie de communication sécurisée V2 comporte un module de chiffrement K afin de chiffrer les données vocales émises et reçues. La première voie de communication publique V1 comporte un premier commutateur réseau 6 adapté pour échanger des données vocales entre une pluralité d'équipement de communication vocale 1 et l'extérieur EXT, c'est-à-dire, des aéronefs d'une zone de navigation prédéterminée ou d'autres centres de contrôle aérien. 3028698 2 Toujours en référence à la figure 1, la deuxième voie de communication sécurisée V2 comporte un deuxième commutateur réseau 7 et un module de chiffrement K qui sont adaptés pour échanger des données vocales chiffrées entre la pluralité d'équipement 5 de communication vocale 1 et l'extérieur EXT. En particulier, le deuxième commutateur réseau 7 de la deuxième voie de communication sécurisée V2 est relié au premier commutateur réseau 6 de la première voie de communication publique V1 pour accéder à l'extérieur EXT. 10 Ainsi, pour communiquer en « clair» avec un aéronef, l'opérateur utilise son micro- casque 1 pour émettre des données vocales directement au premier commutateur réseau 6 de la première voie de communication publique V1 afin d'accéder à l'extérieur EXT. Au contraire, pour contrôler un aéronef militaire en mode chiffré, l'opérateur utilise son micro-casque 1 pour émettre des données vocales directement 15 au deuxième commutateur réseau 7 de la deuxième voie de communication sécurisée V2 afin que les données vocales soient chiffrées par le module de chiffrement K avant d'être transmises au premier commutateur réseau 6 de la première voie de communication publique V1 pour accéder à l'extérieur EXT. 20 En pratique, en référence à la figure 1, le système de communication comporte une pluralité d'équipements de communication dont une partie des équipements est située dans une zone sécurisée ZR dite « zone rouge ». On définit une zone noire ZN dans laquelle sont logés les équipements qui ne sont pas situés dans la zone rouge ZR. Les données vocales qui circulent par les équipements de la zone noire ZN ne sont pas 25 sensibles. Au contraire, les données vocales qui circulent par les équipements de la zone rouge ZR sont sensibles et ne doivent pas être compromises. A titre d'exemple, une zone rouge ZR comporte généralement une pièce protégée par une cage de Faraday afin d'éviter toute possibilité d'interception. 30 Afin d'éviter une compromission des données vocales échangées entre un opérateur d'un centre de contrôle aérien et un aéronef militaires, il est important d'éviter toute fuite de données vocales depuis la deuxième voie de communication sécurisée V2 vers la première voie de communication publique V1. A cet effet, le système de communication comporte un module de sûreté 5 qui relie chaque équipement de 3028698 3 communication vocale 1 d'un opérateur, c'est-à-dire son micro-casque, aux commutateurs 6, 7 de la première voie de communication publique V1 et de la deuxième voie de communication sécurisée V2. Un tel module de sûreté 5 permet de s'assurer que les données vocales émises par l'opérateur sont bien émises de manière 5 chiffrée tel que présenté dans la demande de brevet EP2943813. Autrement dit, grâce au module de sûreté 5, le risque d'une compromission des données vocales échangées est limité. Le poste de gestion 2 d'un opérateur, c'est-à-dire son dispositif tactile, demeure relié à 10 la première voie de communication publique V1 et à la deuxième voie de communication sécurisée V2 afin de commander leurs commutateurs 6, 7, en particulier, lors d'un changement de voie de communication. Du fait de sa liaison aux deux voies de communication V1, V2, le poste de gestion 2 peut présenter un risque dans le cas d'espionnage performant, en particulier, par analyse des signaux transitant 15 par l'alimentation électrique du poste de gestion 2. Un des objectifs de la présente invention est de proposer un système de communication pour le contrôle aérien dont la sécurité est améliorée afin d'éliminer tout risque potentiel de compromission des données vocales échangées. 20 PRESENTATION GENERALE DE L'INVENTION A cet effet, l'invention concerne un système de communication pour un centre de contrôle aérien comprenant une première voie de communication publique, une 25 deuxième voie de communication sécurisée, au moins un équipement de communication vocal adapté pour échanger des données vocales sur chacune des deux voies de communication, et au moins un poste de gestion, comportant une interface de commande et une interface de visualisation, configuré pour gérer les échanges de données vocales et commander l'aiguillage des données vocales sur 30 chacune des deux voies de communication. L'invention est remarquable en ce que le poste de gestion comporte : - un premier module de traitement autonome, appartenant à la première voie de communication publique, adapté pour, d'une part, recevoir un message de 3028698 4 commande de l'interface de commande suite à une commande physique d'un opérateur et, d'autre part, émettre un message primaire en fonction du message de commande reçu, - un deuxième module de traitement autonome, appartenant à la deuxième voie 5 de communication sécurisée, qui est adapté pour, d'une part, recevoir un message primaire et, d'autre part, générer un affichage en fonction dudit message primaire reçu sur ladite interface de visualisation à l'attention dudit opérateur ; et - des moyens de transfert d'un message primaire du premier module de 10 traitement autonome vers le deuxième module de traitement autonome. Grâce à l'invention, l'affichage et la commande du poste de gestion sont dissociés. Ainsi, aucune information pertinente ne peut être obtenue en cas d'interception d'un message de commande sur la première voie de communication publique. Etant 15 donné que l'affichage est généré sur la deuxième voie de communication sécurisée, le risque de compromission est faible. Chaque module de traitement autonome bénéficie de sa propre alimentation électrique, ce qui élimine toute liaison entre la première voie de communication publique et la deuxième voie de communication privée. 20 De manière avantageuse, l'amélioration de la sécurité est transparente pour l'opérateur qui possède un poste de gestion d'aspect extérieur similaire à l'art antérieur. De manière préférée, l'interface de commande est une dalle tactile afin de conserver 25 une interface utilisateur similaire à l'art antérieur. De préférence encore, l'interface de commande et l'interface de visualisation sont superposées. Selon un aspect préféré, les moyens de transfert sont unidirectionnels afin d'éviter toute communication de la deuxième voie de communication privée vers la première voie 30 de communication publique. De préférence, les moyens de transfert comportent au moins une diode. 3028698 5 De manière préférée, le deuxième module de traitement autonome est situé dans une zone sécurisée, de préférence, dans une pièce protégée par une cage de Faraday. Ainsi, tout risque de compromission de l'affichage du poste de gestion est éliminé. 5 Selon un aspect préféré, l'interface de commande est reliée au premier module de traitement autonome par une fibre optique afin de limiter le risque d'interception. De manière préférée, le premier module de traitement autonome comprend des moyens de traitement adaptés pour émettre une commande fonctionnelle, en 10 fonction du message de commande reçu, à un équipement de la première voie de communication publique. Ainsi, le premier module de traitement autonome peut émettre des commandes non sécurisées à la manière d'un poste de gestion traditionnel. 15 De préférence encore, le deuxième module de traitement autonome comprend des moyens de traitement adaptés pour émettre une commande fonctionnelle, en fonction du message primaire reçu, à un équipement de la deuxième voie de communication sécurisée. Ainsi, le deuxième module de traitement autonome peut émettre des commandes sécurisées à la manière d'un poste de gestion traditionnel. 20 Les deux voies de communication sont avantageusement dissociées dans le système de communication selon l'invention. De manière préférée, le premier module de traitement autonome et le deuxième module de traitement autonome comprenant respectivement des moyens de 25 génération d'un affichage public et d'un affichage sécurisé, le deuxième module de traitement autonome comporte des moyens de synthèse afin de former un affichage combinant l'affichage public et l'affichage sécurisé. La gestion des affichages est ainsi avantageusement partagée entre les deux modules de traitement pour permettre un suivi en temps réel de l'affichage sur l'écran de visualisation lors d'un basculement 30 entre les deux voies de communication. L'invention concerne également un procédé de communication pour un centre de contrôle aérien comprenant une première voie de communication publique, une deuxième voie de communication sécurisée, au moins un équipement de 3028698 6 communication vocal adapté pour échanger des données vocales sur chacune des deux voies de communication, et au moins un poste de gestion configuré pour gérer les échanges de données vocales et commander l'aiguillage des données vocales sur chacune des deux voies de communication, le poste de gestion comportant une 5 interface de commande, un premier module de traitement autonome appartenant à la première voie de communication publique, un deuxième module de traitement autonome appartenant à la deuxième voie de communication sécurisée et une interface de visualisation. 10 Le procédé est remarquable en ce qu'il comporte : - une étape de génération d'un message de commande de l'interface de commande vers le premier module de traitement autonome suite à une commande physique d'un opérateur ; - une étape d'émission d'un message primaire depuis le premier module de 15 traitement autonome, en fonction du message de commande reçu, vers le deuxième module de traitement autonome, - une étape de génération d'un affichage par le deuxième module de traitement autonome en fonction dudit message primaire reçu ; et - une étape d'affichage dudit affichage sur ladite interface de visualisation à 20 l'attention dudit opérateur. PRESENTATION DES FIGURES L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée 25 uniquement à titre d'exemple, et se référant aux dessins annexés sur lesquels : - la figure 1 est une représentation schématique d'un système de communication selon l'art antérieur ; - la figure 2 est une représentation schématique d'un système de communication selon l'invention ; et 30 la figure 3 est une représentation schématique d'une autre forme de réalisation du système de communication selon l'invention. 3028698 7 Il faut noter que les figures exposent l'invention de manière détaillée pour mettre en oeuvre l'invention, lesdites figures pouvant bien entendu servir à mieux définir l'invention le cas échéant. 5 DESCRIPTION D'UN OU PLUSIEURS MODES DE REALISATION ET DE MISE EN OEUVRE Un système de communication pour un centre de contrôle aérien selon l'invention est représenté à la figure 2. 10 En référence à la figure 2, le système de communication comprend une première voie de communication publique V1, une deuxième voie de communication sécurisée V2, un équipement de communication vocale 1 adapté pour échanger des données vocales sur chacune des deux voies de communication V1, V2 et un poste de gestion 2, comportant une interface de commande 3 et une interface de visualisation 4, 15 configuré pour gérer les échanges de données vocales et commander l'aiguillage des données vocales sur chacune des deux voies de communication V1, V2. Selon l'invention, comme cela sera détaillé par la suite, l'interface de commande 3 et l'interface de visualisation 4 du poste de gestion 2 sont dissociées l'une de l'autre afin 20 d'éviter qu'une information de commande et/ou qu'une information de visualisation ne transite via une même alimentation électrique comme c'était le cas dans l'art antérieur avec un poste de gestion se présentant sous la forme d'un dispositif tactile classique dans laquelle l'interface de commande et l'interface de visualisation sont associées. De plus, comme cela sera détaillé par la suite, une telle dissociation permet 25 d'éviter que des informations intelligibles soient compromises en cas d'interception. Dans cet exemple, chaque opérateur du centre de contrôle aérien est équipé d'un équipement de communication vocale 1 et d'un poste de gestion 2. Chaque équipement de communication vocale 1 se présente sous la forme d'un micro-casque 30 afin de pouvoir recevoir et émettre des données vocales mais il va de soi que d'autres types d'équipements de communication vocale pourraient convenir. Chaque poste de gestion 2 se présente extérieurement sous la forme d'un dispositif tactile de conception améliorée comme cela sera présenté par la suite. 3028698 8 Par la suite, la première voie de communication publique V1 est dite « voie noire » tandis que la deuxième voie de communication sécurisée V2 est dite « voie rouge ». Contrairement à la première voie de communication publique V1, la voie de communication sécurisée V2 comporte un module de chiffrement-déchiffrement K, 5 connue de l'homme du métier, afin de chiffrer et de déchiffrer les données vocales émises. En référence à la figure 2, la première voie de communication publique V1 comporte un premier commutateur réseau 6 adapté pour échanger des données vocales entre 10 une pluralité d'équipements de communication vocale 1 et l'extérieur EXT, c'est-à-dire, des aéronefs d'une zone de navigation prédéterminée ou d'autres centres de contrôle aérien. La deuxième voie de communication sécurisée V2 comporte un deuxième commutateur réseau 7 et un module de chiffrement K qui sont adaptés pour échanger des données vocales chiffrées entre une pluralité d'équipements de communication 15 vocale 1 et l'extérieur EXT. En particulier, le deuxième commutateur réseau 7 de la deuxième voie de communication sécurisée V2 est relié au premier commutateur réseau 6 de la première voie de communication publique V1 via le module de chiffrement K afin d'accéder à l'extérieur EXT. De manière préférée, les commutateurs réseau 6, 7 sont des commutateurs audio. 20 Ainsi, en référence à la figure 2, pour contrôler un aéronef civil, l'opérateur utilise son micro-casque pour émettre des données vocales directement au premier commutateur réseau 6 de la première voie de communication publique V1 pour accéder à l'extérieur. Au contraire, pour contrôler un aéronef militaire, l'opérateur 25 utilise son micro-casque pour émettre des données vocales directement au deuxième commutateur réseau 7 de la deuxième voie de communication sécurisée V2 afin que les données vocales soient chiffrées par le module de chiffrement K avant d'être transmises au premier commutateur réseau 6 de la première voie de communication publique V1 pour accéder à l'extérieur. 30 De manière similaire à l'art antérieur, le système de communication comporte un module de sûreté 5 qui relie chaque équipement de communication vocale 1 d'un opérateur, c'est-à-dire son micro-casque, aux commutateurs 6, 7 de la première voie de communication publique V1 et de la deuxième voie de communication sécurisée 3028698 V2. Un tel module de sûreté 5 permet de s'assurer que les données vocales émises par l'opérateur sont bien émises de manière chiffrée tel que présenté dans la dèfilande de brevet FR2943813. 5 En pratique, le système de communication comporte une pluralité d'équipements de communication dont une partie des équipements est située dans une zone sécurisée dite « zone rouge ZR ». On définit une zone noire ZN dans laquelle sont logés les équipements qui ne sont pas situés dans la zone sécurisée. Les données vocales qui circulent par les équipements de la zone noire ZN ne sont pas sensibles. Au contraire, 10 les données vocales qui circulent par les équipements de la zone rouge ZR sont sensibles et ne doivent pas être compromises. Dans cet exemple, en référence à la figure 2, le système de communication comporte une zone rouge ZR qui est une pièce généralement protégée par une cage de Faraday afin d'éviter toute émission non-désirée en dehors de ladite zone rouge ZR. 15 Toujours en référence à la figure 2, la zone rouge ZR comporte le deuxième commutateur réseau 7 de la deuxième voie de communication sécurisée V2 ainsi que le module de chiffrement K. Les données vocales émises sur la deuxième voie de communication sécurisée V2 ne peuvent ainsi pas être interceptées. 20 Selon l'invention, en référence à la figure 2, le poste de gestion 2 comporte une interface de commande 3 et une interface de visualisation 4 qui sont dissociées afin d'éviter de relier la première voie de communication publique V1 et la deuxième voie de communication sécurisée V2 et ainsi limiter le risque d'interception de données 25 confidentielles. L'interface de commande 3 du poste de gestion 2 est adaptée pour recevoir une commande physique d'un opérateur. Dans cet exemple, l'interface de commande 3 est une dalle tactile pouvant être manipulée par un opérateur avec un ou plusieurs 30 doigts afin d'émettre des messages de commande MC, par exemple, via une connexion du type USB. Ainsi, un appui d'un opérateur sur la dalle tactile correspond à un message de commande MC qui comprend, par exemple, la position géographique d'appui, le temps d'appui, un parcours d'appui, etc. 3028698 10 L'interface de visualisation 4 du poste de gestion 2 est adaptée pour permettre la visualisation d'un affichage AFF par l'opérateur. Dans cet exemple, l'interface de visualisation 4 est un écran d'affichage du type LED ou LCD pour recevoir des affichages via une connexion, par exemple du type VGA, DVI ou HDMI. 5 En référence à la figure 2, le poste de gestion 2 comporte un premier module de traitement autonome 30, appartenant à la première voie de communication publique V1, qui est relié à l'interface de commande 3 et qui est configuré pour recevoir un message de commande MC de l'interface de commande 3 et émettre un message 10 primaire MP. Par module de traitement autonome, on entend un module de calcul qui possède sa propre alimentation électrique. Le poste de gestion 2 comporte également un deuxième module de traitement autonome 40, appartenant à la deuxième voie de communication sécurisée V2, qui 15 est configuré pour générer un affichage AFF sur l'interface de visualisation 4 suite à une réception d'un message primaire MP. En outre, le poste de gestion 2 comporte des moyens de transfert unidirectionnel T d'un message primaire MP du premier module de traitement autonome 30 vers le deuxième module de traitement autonome 40. Dans cet exemple, les moyens de transfert unidirectionnel T comportent une diode 20 unidirectionnelle afin de n'autoriser qu'un transfert depuis la première voie de communication publique V1 vers la deuxième voie de communication sécurisée V2. Il va de soi que les moyens de transfert unidirectionnel T pourraient se présenter sous une forme différente. 25 Grâce à l'invention, seuls les messages primaires MP sont émis sur la première voie de communication publique V1, ces derniers n'étant pas sensibles car ils ne correspondent qu'à des données sans lien avec la fonction commandée. De manière avantageuse, l'affichage AFF généré par le deuxième module de 30 traitement autonome 40 ne peut pas être intercepté étant donné que ce dernier appartient à la deuxième voie de communication sécurisée V2. En outre, dans cet exemple, le deuxième module de traitement autonome 40 appartient à la zone rouge ZR et est logé dans une pièce sécurisée, de préférence, protégée par une cage de Faraday, ce qui limite tout risque d'interception. 3028698 11 En outre, étant donné que chaque interface 3, 4 est reliée à un module de traitement autonome 30, 40, les alimentations ne sont pas partagées et il n'existe pas de risque qu'un affichage AFF transite via l'alimentation du premier module de traitement 5 autonome 30 de la première voie de communication publique Vl. Enfin, grâce aux moyens de transfert unidirectionnels T, aucune information ne peut être transférée depuis la deuxième voie de communication sécurisée V2 vers la première voie de communication publique Vl. 10 De manière avantageuse, la dissociation des interfaces 3, 4 du poste de gestion 2 n'impacte par l'exécution des tâches des opérateurs. En effet, l'interface de commande 3 et l'interface de visualisation 4 sont superposées à la manière d'un écran tactile selon l'art antérieur. D'un point de vue pratique, tout appui sur l'interface de commande 3 engendre un affichage AFF sur l'interface de visualisation 4 qui confirme 15 que l'opérateur a exercé un appui. L'expérience de l'opérateur n'est ainsi pas dégradée suite à l'amélioration de la sécurité. Une forme de réalisation préférée de l'invention va être dorénavant présentée en référence à la figure 3. Les références utilisées pour décrire les éléments de structure ou 20 fonction identique, équivalente ou similaire à celles des éléments de la figure 2 sont les mêmes, pour simplifier la description. D'ailleurs, l'ensemble de la description de la forme de réalisation de la figure 2 n'est pas reprise, cette description s'appliquant aux éléments de la figure 3 lorsqu'il n'y a pas d'incompatibilités. Seules les différences notables, structurelles et fonctionnelles, sont décrites. 25 En référence à la figure 3, le premier module de traitement autonome 30 comporte des moyens de traitement 31 adaptés pour convertir le message de commande MC en un message primaire MP interprétable par le deuxième module de traitement autonome 40. Le message primaire MP est une interprétation du message de commande MC en 30 fonction de la connaissance par le premier module de traitement autonome 30 de l'affichage AFF de l'interface de visualisation 4. Par ailleurs, les moyens de traitement 31 sont également adaptés pour émettre une commande fonctionnelle COMN en fonction du message de commande MC reçu, par 3028698 12 exemple, un changement de fréquences à des équipements de la zone noire EzN, par exemple, le commutateur réseau 6. Le premier module de traitement autonome 30 comporte également des moyens de 5 génération d'affichage 32 adaptés pour générer un affichage public AFFN en fonction du message de commande MC reçu et des informations publiques IzN envoyées par les équipements de la zone noire EzN. Toujours en référence à la figure 3, de manière similaire au premier module de 10 traitement autonome 30, le deuxième module de traitement autonome 40 comporte des moyens de traitement 41 adaptés pour émettre une commande sécurisée COMR en fonction du message primaire MC reçu, par exemple, un chiffrement des données à des équipements de la zone rouge EzR, par exemple, le commutateur réseau 7 ou le module de chiffrement K. 15 De manière préférée, le deuxième module de traitement autonome 40 comporte des moyens de génération 42 adaptés pour générer un affichage sécurisé AFFR en fonction du message primaire MP reçu et des informations sécurisées IzR envoyées par les équipements de la zone rouge EZR. 20 Toujours en référence à la figure 3, le deuxième module de traitement autonome 40 comporte des moyens de synthèse 43 adaptés pour combiner l'affichage public AFFN et l'affichage sécurisé AFFR et générer l'affichage global AFF destiné à être affiché sur l'interface de visualisation 4 du poste de gestion 2. L'utilisation de modules de 25 génération 32, 42 permet avantageusement de dissocier les affichages publics des affichages confidentiels et ainsi partager la génération d'affichages entre les deux modules de traitement autonome 30, 40. Un exemple de mise en oeuvre de l'invention va être dorénavant présenté pour le 30 contrôle aérien d'un aéronef militaire. En référence à la figure 3, un opérateur d'un centre de contrôle aérien est équipé d'un micro-casque et d'un dispositif tactile de conception améliorée pour contrôler un aéronef militaire se situant dans une zone de navigation aérienne. 3028698 13 À titre d'exemple, l'opérateur souhaite changer de fréquence de communication et chiffrer la communication avec ledit aéronef militaire. À cet effet, l'opérateur appuie sur la dalle tactile dans la zone où est affichée l'icône relative à un changement de 5 fréquence avec chiffrement sur l'écran d'affichage, la dalle tactile et l'écran d'affichage étant superposés. Cet appui physique de l'opérateur est traduit en un message de commande MC qui est émis par la dalle tactile 3 vers le premier module de traitement autonome 30 Le 10 message de commande MC comporte, dans cet exemple, la position géographique d'appui. Les moyens de traitement 31 du premier module de traitement autonome 30 convertissent le message de commande MC en un message primaire MP qui est 15 envoyé aux moyens de transfert T. De préférence, le message primaire MP est une encapsulation du message de commande MC. Dans cet exemple, les moyens de traitement 31 du premier module de traitement autonome 30 émettent en outre une commande fonctionnelle COMN aux 20 équipements de la zone noire EzN, en particulier au commutateur réseau 6, afin de commander un changement de fréquences. En parallèle, les moyens de génération d'affichage 32 du premier module de traitement autonome 30 génèrent un affichage public AFFN, dans lequel l'icône de 25 changement de fréquence est, par exemple, de couleur différente, qui est transmis au deuxième module de traitement autonome 40 via les moyens de transfert T. De manière préférée, l'affichage public AFFN peut également comprendre des informations publiques IzN issues des équipements de la zone noire EzN, en particulier, l'acquittement par l'équipement EzN de la commande de changement de fréquence 30 et l'information qu'il a effectué ce changement avec succès. Les moyens de transfert unidirectionnels T permettent avantageusement de mettre en relation les deux modules de traitement autonome 30, 40 sans risque de compromission de données sécurisées. 3028698 14 Toujours en référence à la figure 3, le message primaire MP est reçu par les moyens de traitement 41 du deuxième module de traitement 40 qui émettent une commande fonctionnelle sécurisée COMR aux équipements de la zone rouge EzR, en particulier au 5 commutateur réseau 7, afin de commander un chiffrement des communications par le module de chiffrement K. En parallèle, les moyens de génération d'affichage 42 du deuxième module de traitement 40 génèrent un affichage sécurisé AFFR, dans lequel l'icône de chiffrement 10 est, par exemple, de couleur différente. De manière préférée, l'affichage privé AFFR peut également comprendre des informations sécurisées IzR issues des équipements de la zone rouge EzR, en particulier, l'acquittement par l'équipement EzR de la commande de passage en chiffre et l'information qu'il a effectué ce passage avec succès. 15 Avantageusement, l'affichage privé AFFR ne transite que dans des équipements de la zone rouge ZR qui est sécurisée, ce qui limite le risque de compromission. Enfin, les moyens de synthèse 43 du deuxième module de traitement 40 forment un affichage global AFF à partir de l'affichage sécurisé AFFR et de l'affichage public AFFN. 20 Autrement dit, l'affichage global AFF comporte, dans notre exemple, une icône de changement de fréquence et une icône de chiffrement de couleurs différentes. L'affichage global AFF est ensuite affiché sur l'interface de visualisation 4 (écran) du dispositif tactile 2. Ainsi, l'opérateur est informé que son appui sur l'interface de commande 3 (dalle tactile 3) a été pris en compte et que le changement de 25 fréquences et le chiffrement sont activés. Une génération d'affichages par les deux modules de traitement autonome 30, 40 permet un suivi en temps réel de l'affichage global AFF lors d'un basculement entre les deux voies de communication V1, V2 étant donné que les deux modules de traitement 30 autonome 30, 40 évoluent en parallèle au fur et à mesure des messages reçus. De manière préférée, les liaisons entre les modules de traitement autonome 30, 40 et leurs interfaces respectives 3, 4 sont réalisées en fibre optique pour améliorer la sécurité. De préférence, des moyens d'interface sont utilisés pour connecter les modules de 3028698 15 traitement 30, 40 et les interfaces 3, 4 aux fibres optiques, de préférence, des interfaces du type KVM. La fibre optique permet, d'une part, de découpler les alimentations des modules de traitement 30, 40 et, d'autre part, d'éviter une compromission par rayonnement et par conduction sur les câbles transportant les signaux. 5 De préférence, les liaisons entre les modules de traitement autonome 30, 40 et les moyens de transfert unidirectionnel T, en particulier une diode, sont également réalisées en fibre optique pour améliorer le découplage entre les deux zones ZN, ZR. 10 II a été présenté une mise en oeuvre lors de l'émission de données mais il va de soi que le système permet d'éviter, de manière symétrique, une compromission des données reçues. De même, il a été présenté une mise en oeuvre dans laquelle les modules de 15 traitement autonome 30, 40 sont situés dans des zones différentes. Néanmoins, il va de soi que les modules de traitement autonome 30, 40 pourraient être situés dans une même zone. De manière avantageuse, le déport des modules de traitement autonome 30, 40 20 permet, outre de réduire le risque de compromission électromagnétique, d'alléger le poste de gestion 2 et de limiter ainsi son encombrement. Grâce à l'invention, le risque de compromission par le poste de gestion 2 est considérablement limité. De manière avantageuse, cette amélioration de la sécurité 25 est transparente pour les opérateurs du centre de contrôle aérien. REVENDICATIONS1. Système de communication pour un centre de contrôle aérien comprenant : - une première voie de communication publique (V1), - une deuxième voie de communication sécurisée (V2), - au moins un équipement de communication vocal (1) adapté pour échanger des données vocales sur chacune des deux voies de communication (V1, V2), - au moins un poste de gestion (2), comportant une interface de commande (3) et une interface de visualisation (4), configuré pour gérer les échanges de données vocales et commander l'aiguillage des données vocales sur chacune des deux voies de communication (V1, V2), système caractérisé par le fait que le poste de gestion (2) comporte : - un premier module de traitement autonome (30), appartenant à la première voie de communication publique (V1), adapté pour, d'une part, recevoir un message de commande (MC) de l'interface de commande (3) suite à une commande physique d'un opérateur et, d'autre part, émettre un message primaire (MP) en fonction du message de commande (MC) reçu; - un deuxième module de traitement autonome (40), appartenant à la deuxième voie de communication sécurisée (V2), qui est adapté pour, d'une part, recevoir un message primaire (MP) et, d'autre part, générer un affichage (AFF) en fonction dudit message primaire reçu (MP) sur ladite interface de visualisation (4) à l'attention dudit opérateur ; et - des moyens de transfert (T) d'un message primaire (MP) du premier module de traitement autonome (30) vers le deuxième module de traitement autonome (40). 2. Système de communication selon la revendication 1, dans lequel l'interface de commande (3) est une dalle tactile. 3. Système de communication selon l'une des revendications 1 à 2, dans lequel l'interface de commande (3) et l'interface de visualisation (4) sont superposées. 3028698 17 4. Système de communication selon l'une des revendications 1 à 3, dans lequel les moyens de transfert (T) sont unidirectionnels. 5. Système de communication selon la revendication 4, dans lequel les moyens de 5 transfert (T) comportent au moins une diode. 6. Système de communication selon l'une des revendications 1 à 5, dans lequel le deuxième module de traitement autonome (40) est situé dans une zone sécurisée (ZR), de préférence, dans une pièce protégée par une cage de 10 Faraday. 7. Système de communication selon l'une des revendications 1 à 6, dans lequel l'interface de commande (3) est reliée au premier module de traitement autonome (30) par une fibre optique. 15 8. Système de communication selon l'une des revendications 1 à 7, dans lequel, le premier module de traitement autonome (30) comprend des moyens de traitement (31) adaptés pour émettre une commande fonctionnelle (COMN), en fonction du message de commande reçu (MC), à un équipement de la 20 première voie de communication publique (V1). 9. Système de communication selon l'une des revendications 1 à 8, dans lequel, le premier module de traitement autonome (30) et le deuxième module de traitement autonome (40) comprenant respectivement des moyens de 25 génération (32, 42) d'un affichage public (AFFN) et d'un affichage sécurisé (AFFR), le deuxième module de traitement autonome (40) comporte des moyens de synthèse (43) afin de former un affichage (AFF) combinant l'affichage public (AFFN) et l'affichage sécurisé (AFFR). 30 10. Procédé de communication pour un centre de contrôle aérien comprenant une première voie de communication publique (V1), une deuxième voie de communication sécurisée (V2), au moins un équipement de communication vocal (1) adapté pour échanger des données vocales sur chacune des deux voies de communication (V1, V2), et au moins un poste de gestion (2) configuré 3028698 18 pour gérer les échanges de données vocales et commander l'aiguillage des données vocales sur chacune des deux voies de communication (V1, V2), le poste de gestion (2) comportant une interface de commande (3), un premier module de traitement autonome (30) appartenant à la première voie de 5 communication publique (V1), un deuxième module de traitement autonome (40) appartenant à la deuxième voie de communication sécurisée (V2) et une interface de visualisation (4), procédé caractérisé par le fait qu'il comporte : - une étape de génération d'un message de commande (MC) de l'interface de commande (3) vers le premier module de traitement 10 autonome (30) suite à une commande physique d'un opérateur ; - une étape d'émission d'un message primaire (MP) depuis le premier module de traitement autonome (30), en fonction du message de commande reçu (MC), vers le deuxième module de traitement autonome (40), 15 - une étape de génération d'un affichage (AFF) par le deuxième module de traitement autonome (40) en fonction dudit message primaire reçu (MP) ; et - une étape d'affichage dudit affichage (AFF) sur ladite interface de visualisation (4) à l'attention dudit opérateur. 20