Brevet FR3036202A1 — publié le 20161118

Système d'affichage de données de supervision d'installations techniques La présente invention concerne un système d'affichage de données de supervision d'installations techniques comportant des moyens d'affichage comportant une pluralité d'unités d'affichage, apte à afficher des données graphiques fournies par deux sources différentes. L'invention se situe dans le domaine de l'affichage de données techniques et industrielles, en conformité avec la sécurité de fonctionnement. Dans divers secteurs industriels, comme par exemple les secteurs ferroviaires, automobile, de supervision de procédés industriels ou nucléaires, des opérateurs sont amenés à utiliser des systèmes de supervision, fournissant un affichage graphique temps réel d'informations relatives aux installations supervisées. En général, des logiciels génériques de type SCADA (« supervisory control and data acquisition »), configurables pour des besoins spécifiques, fournissent des informations de supervision génériques. Ces logiciels sont vendus dans le commerce, s'appuient sur un système d'exploitation largement diffusé, comme par exemple Windows®, et permettent un affichage graphique sophistiqué. En outre, pour la supervision d'installations techniques, en fonction du secteur industriel concerné, il existe des règles de sûreté de fonctionnement, comme par exemple définies par la norme CE161508, définissant des règles de sécurité et d'intégrité relatives aux données de supervision à fournir aux opérateurs. Il est d'usage, afin d'assurer l'intégrité et la sécurité des données, de développer des systèmes dédiés, dits systèmes de sécurité, s'appuyant sur un système d'exploitation plus réduit et permettant de répondre aux règles de sécurité, pour la gestion des données de supervision régies par les normes de sûreté de fonctionnement du secteur industriel concerné. Ainsi, un opérateur de supervision a potentiellement à sa disposition deux systèmes de supervision distincts, chacun fournissant des données graphiques à afficher simultanément, possiblement sur plusieurs écrans d'affichage distincts. Pour des raisons d'ergonomie et de sécurité, il est préférable de fournir à un opérateur de supervision l'ensemble des données de supervision sur un espace d'affichage cohérent, par exemple un seul écran d'affichage ou une pluralité d'écrans d'affichage ayant une cohérence entre eux, tout en préservant l'intégrité et la sécurité des données en provenance du système de sécurité. A cet effet, l'invention propose, selon un premier aspect, un système d'affichage de données de supervision d'installations techniques comportant des moyens d'affichage comportant une pluralité d'unités d'affichage, apte à afficher des données graphiques fournies par deux sources différentes, une première source fournissant de premières 3036202 2 données graphiques ayant un premier niveau de priorité associé et une deuxième source fournissant de deuxièmes données graphiques ayant un deuxième niveau de priorité associé, le premier niveau de priorité étant supérieur au deuxième niveau de priorité, chaque source de données ayant au moins un processeur associé. 5 Ce système d'affichage comporte un dispositif de mixage graphique apte à recevoir lesdites premières et deuxièmes données graphiques et à fournir en sortie des données graphiques à afficher sur chacune des unités d'affichage desdits moyens d'affichage, et un bus de communication reliant ledit dispositif de mixage graphique à un processeur, dit processeur de sécurité, associé à la première source, ledit processeur de 10 sécurité étant apte à contrôler, via ledit bus de communication, la sortie du dispositif de mixage graphique de manière à assurer un affichage systématique des premières données graphiques en provenance de la première source. Avantageusement, le système de l'invention permet le contrôle de l'affichage pour chaque unité d'affichage, en fonction de la source de provenance des données 15 graphiques affichées. Ainsi, il est possible d'afficher, sur un écran unique, des données graphiques en provenance de deux sources de niveaux de priorité différents, fournies simultanément, tout en garantissant l'affichage systématique des données graphiques de niveau de priorité le plus élevé. Le système selon l'invention peut présenter une ou plusieurs des caractéristiques 20 ci-dessous, prises indépendamment ou selon toutes les combinaisons techniquement acceptables. Le dispositif de mixage graphique comprend une mémoire de configuration apte à stocker une donnée graphique pour chaque unité d'affichage, et le processeur de sécurité est apte à piloter le stockage des premières et/ou deuxièmes données graphiques dans 25 ladite mémoire de configuration. Le dispositif de mixage graphique comprend deux interfaces d'entrée normalisées, une première interface d'entrée apte à recevoir des premières données graphiques fournies par ledit processeur de sécurité et une deuxième interface d'entrée apte à recevoir des deuxièmes données graphiques de deuxième niveau de priorité fournies par 30 un deuxième processeur associé à ladite deuxième source. Le dispositif de mixage graphique comprend des modules générateurs d'adresse, chacun apte à associer une adresse d'affichage, associée à une unité d'affichage des moyens d'affichage, à chaque première et deuxième donnée graphique. Le dispositif de mixage graphique comprend une unité d'aiguillage et une unité de 35 mémoire en lien avec les moyens d'affichage, l'unité d'aiguillage permettant de sélectionner, en fonction des adresses des unités d'affichage, des données graphiques 3036202 3 parmi les premières données graphiques et les deuxièmes données graphiques, à stocker dans l'unité mémoire. Le système comporte une unité d'acheminement et de contrôle des données graphiques à afficher, issues de ladite unité mémoire, vers une interface de sortie 5 normalisée connectée aux moyens d'affichage. L'unité d'acheminement et de contrôle des données graphiques à afficher est apte à vérifier une compatibilité des premières données graphiques et des deuxièmes données graphiques affichées simultanément sur des unités d'affichage des moyens d'affichage. Le processeur de sécurité est apte à s'attribuer au moins une zone d'affichage 10 réservée desdits moyens d'affichage, pour affichage desdites premières données graphiques. D'autres caractéristiques et avantages de l'invention ressortiront de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles : 15 -la figure 1 représente une architecture de deux systèmes indépendants de fourniture de données de supervision d'installations techniques ; - la figure 2 illustre schématiquement un système d'affichage de données selon un mode de réalisation d'invention ; - les figures 3 et 4 sont des exemples d'affichages graphiques obtenus en mettant 20 en oeuvre l'invention. La figure 1 illustre un exemple de deux systèmes indépendants de fourniture de données dans lequel l'invention trouve son application. L'invention sera décrite dans le domaine de la fourniture de données de supervision d'installations techniques, et trouve des applications dans divers domaines techniques comme le domaine du ferroviaire, de 25 l'automobile, de la supervision de sites industriels, en particulier des sites de production d'énergie nucléaire. L'invention s'applique, comme expliqué ci-dessus, dans un contexte dans lequel des données graphiques à afficher simultanément sont fournies par deux systèmes de fourniture de données indépendants, dits également sources de données, ayant chacun 30 un niveau de priorité différent associé. Il s'agit, d'une part, d'un premier système de fourniture de données ayant un premier niveau de priorité élevé, correspondant à un niveau de sécurité et d'intégrité des données élevé, imposé par exemple par une norme de sûreté de fonctionnement. Dans le cas où le premier système de fourniture des données est conforme à une norme de sûreté de fonctionnement, on parle de système 35 classé. 3036202 4 D'autre part, le double système de fourniture de données comprend un deuxième système de fourniture de données, qui est par exemple un système SCADA, ayant un deuxième niveau de priorité associé, inférieur au premier niveau de priorité. En pratique, ces deux systèmes de fourniture de données sont implémentés dans 5 un dispositif de calcul bi-processeur, ou, en variante, chacun des systèmes de fourniture de données est implémenté par un dispositif de calcul ayant un ou plusieurs processeurs. Ainsi, chaque système de fourniture de données a au moins un processeur associé. Comme illustré à la figure 1, deux systèmes indépendants de fourniture de 10 données 1 comprend deux sources de fourniture de données graphiques à afficher, un premier processeur 2, associé au premier système de fourniture de données de premier niveau de sécurité, qui est le niveau de sécurité le plus élevé. Il comprend également un deuxième processeur 4, associé au deuxième système de fourniture de données, mettant en oeuvre par exemple un système SCADA. 15 Le deuxième processeur 4 fournit des données graphiques sous forme d'un flux vidéo à un dispositif de mixage graphique 6, via un bus unidirectionnel 8 connecté à un port d'entrée de données graphiques C de type DVI (« digital visual interface ») ou DP (Display Port) par exemple. De manière analogue, le premier processeur 2 fournit des données graphiques 20 sous forme d'un flux vidéo au dispositif de mixage graphique 6, via un bus unidirectionnel 10 connecté à un port d'entrée de données graphiques B de type DVI (« digital visual interface ») ou Display Port par exemple. De plus, un bus local bidirectionnel 12, de type « Peripheral Component lnterconnect » (PCI) ou « Peripheral Component Interconnect Express» (PCIe) par 25 exemple, relie le premier processeur 2 au dispositif de mixage graphique 6. Le dispositif de mixage graphique 6 est connecté à des moyens d'affichage 14, qui sont formés par tout écran acceptant un flux vidéo numérique (LCD, TFT, etc.). L'écran 14 comprend une pluralité d'unités d'affichage ou pixels aptes à afficher des données graphiques, l'affichage étant rafraîchi régulièrement par exemple avec une fréquence de 30 rafraîchissement de 70Hz. En variante, les moyens d'affichage sont formés par un autre type d'écran d'affichage numérique, apte à afficher un flux vidéo sous forme d'unités d'affichage. Le dispositif de mixage graphique 6 fournit aux moyens d'affichage 14 un flux vidéo unique comportant une donnée graphique à afficher pour chaque unité d'affichage. 35 Grâce à ce bus local 12, le premier processeur 2 est apte à piloter et à contrôler le dispositif de mixage graphique 6, et en particulier à aiguiller une donnée graphique, 3036202 5 respectivement fournie soit par le processeur 2, soit par le processeur 4, vers chaque surface d'affichage de l'écran 14. La figure 2 illustre de manière schématique un mode de réalisation d'un dispositif de mixage graphique 6, pour un écran d'affichage comportant 1600x1200 unités 5 d'affichage ou pixels, chacun comportant 8 bits par couleur, soit 24 bits par pixel. Un dispositif de mixage graphique 6 comporte deux interfaces d'entrée ou ports d'entrée 20, 22, aptes à recevoir des flux vidéos, qui sont normalisées, selon par exemple le standard DVI. L'interface d'entrée 20 reçoit un premier flux vidéo F1 ou premières données 10 graphiques, de premier niveau de priorité, en provenance du processeur de sécurité 2 et l'interface d'entrée 22 reçoit un deuxième flux vidéo F2, ou deuxièmes données graphiques, de deuxième niveau de priorité inférieur au premier niveau de priorité, en provenance du processeur 4. De manière connue, les flux vidéo véhiculent des valeurs de couleur de pixel, par exemple codées sur 24 bits, formant des images numériques 15 affichables sur un écran 14. Le dispositif de mixage graphique 6 comporte également des modules générateurs d'adresse de pixel 24, 26, chacun apte à associer une adresse d'affichage, associée à une unité d'affichage de l'écran 14, à chaque pixel du flux vidéo respectif F1, F2. Les flux vidéo F1, F2 et les adresses associées sont transmis à une unité de 20 mémoire de configuration et d'aiguillage 28, qui est pilotée par le processeur de sécurité 2 via l'interface PCIe 30. Selon l'invention, le processeur 2 indique, pour chaque adresse d'unité d'affichage de l'écran, la source des données graphiques à afficher parmi les premières et deuxièmes données graphiques entrantes. Cette indication permet ainsi de réserver des zones de 25 l'écran d'affichage, définies dynamiquement, pour l'affichage de données graphiques issues du flux vidéo F1 en provenance du processeur de sécurité 2. Dans les zones d'écran restantes, l'affichage de données graphiques issues du processeur 4 est autorisé. Des exemples de zones d'affichage réservées et de zones d'affichage complémentaires seront détaillés ci-après en référence aux figures 3 et 4. 30 L'affichage graphique est rafraîchi à la fréquence requise par l'afficheur, et la définition dynamique de zones d'écran réservées à l'affichage de premières données graphiques de premier niveau de sécurité est renouvelée en temps réel. Le dispositif de mixage graphique 6 comporte une unité d'aiguillage 32, qui permet l'aiguillage effectif, en fonction des adresses des unités d'affichage d'écran, selon la 35 provenance de l'interface normalisée 20 correspondant au flux vidéo F1 ou de l'interface normalisée 22 correspondant au flux vidéo F2, des données graphiques entrantes. 3036202 6 En fonction des indications transmises par l'unité d'aiguillage 32, des unités de désérialisation 34, 36 des valeurs couleur des pixels codées sur 24 bits, permettant la copie, dans une mémoire 38 associée à l'écran d'affichage 14, des valeurs de pixels associées au flux vidéo sélectionné par l'unité d'affichage pour chaque unité d'affichage. 5 Ainsi, la mémoire 38 comprendra une matrice de données graphiques de la taille d'affichage de l'écran, chaque donnée graphique étant respectivement soit une première donnée graphique issue du flux F1 soit une deuxième donnée graphique issue du flux F2, selon les indications transmises par l'unité d'aiguillage 32. En option, l'interface PCIe 30 communique avec la mémoire 38 de manière 10 permettre une validation des données graphiques ou vues à afficher. L'accès via le bus PCIe permet également au processeur de sécurité de vérifier le bon fonctionnement de son processeur graphique sans le recours de l'opérateur. Par exemple l'utilisation d'une mire de couleur en rotation peut être contrôlée par relecture de la mémoire vidéo 38. En outre, le dispositif de mixage graphique 6 comporte une unité 40 15 d'acheminement et de contrôle des données graphiques, apte à réaliser le balayage, la sérialisation et la génération des signaux de synchronisation. Le dispositif de mixage graphique 6 comporte également une interface de sortie normalisée 42, par exemple DVI ou DP, fournissant un flux de données graphiques à afficher à l'entrée de l'écran d'affichage 14. 20 L'unité 40 réalise un acheminement des données graphiques à afficher, issues de l'unité mémoire 38, vers l'interface de sortie normalisée 42. L'unité 40 joue également un rôle important pour la cohérence des vues affichées. En effet les deux processeurs 2 et 4 sont asynchrones et l'affichage doit rester cohérent lors des changements de vue. Pour cela chaque vue possède une identification cryptée 25 ou signature sous la forme de quelques pixels localisés à un endroit précis des vues qui permettent à l'unité 40 de produire l'affichage lorsque les deux vues, issues des flux F1 et F2, sont compatibles. Cette même unité permet par ce même mécanisme, de prévenir le processeur de sécurité 2 d'une défaillance du processeur 4 non classé. Ainsi, ce dispositif de mixage graphique 6 permet de réaliser un affichage cohérent 30 de flux vidéo provenant de deux systèmes de fourniture différents, ayant des niveaux de priorité différents associés, le processeur associé au système prioritaire permettant de contrôler l'affichage de manière à assurer l'intégrité d'affichage des données de niveau de priorité le plus élevé vis-à-vis des données provenant du système de niveau de priorité inférieur ou classe inférieure. 35 La figure 3 illustre un exemple d'affichage résultant par utilisation d'un système d'affichage selon l'invention. 3036202 7 Dans cet exemple, les moyens d'affichage utilisés sont formés d'un écran d'affichage ayant une zone totale d'affichage 50, correspondant à une matrice rectangulaire de MxN, par exemple 1600x1200 pixels. Dans la zone totale d'affichage, à l'instant d'affichage représenté à la figure 3, une 5 zone d'affichage rectangulaire 52, appelée également zone réservée, est réservée à l'affichage des premières données graphiques de premier niveau de priorité, qui est le niveau de priorité le plus élevé. L'exemple le plus simple d'emploi est de disposer dans chaque vue d'une zone réservée aux informations de deuxième niveau de priorité, sans classement de sécurité, 10 produites par le SCADA (processeur 4) et d'une zone affectée aux informations de sécurité, de premier niveau de priorité, produites par le processeur de sécurité 2. Dans ce cas le processeur 4 ne peut en aucune manière affecter ou masquer la zone 52 des informations de sécurité de la classe la plus élevée. Pour chacune des vues, ces zones ou surfaces peuvent être de tailles différentes 15 et localisées à différents endroits. De même les objets graphiques issus du SCADA peuvent être déplacés sur la vue par l'opérateur, si l'application du SCADA l'autorise, mais ne peuvent à aucun moment occulter les objets graphiques de sécurité, de premier niveau de priorité, grâce à la fonction d'aiguillage 32. Par exemple, un graphe 54 correspondant aux plages de fonctionnement d'une 20 installation, divisé respectivement en 3 plages en fonction de deux valeurs de seuil S1 et S2 est affiché, ainsi qu'un niveau courant indiqué par un curseur 58. Dans un mode de réalisation, la zone 52 est réservée pour un affichage constant de ce graphe, de manière à fournir à un opérateur un ensemble de données de supervision critiques. Dans cet exemple, le reste de l'écran d'affichage, donc la zone d'affichage 25 complémentaire à la zone d'affichage réservée 52 par rapport à la zone totale d'affichage 50, notée 60, peut être utilisé par le système de fourniture de données de deuxième niveau de priorité, et donc afficher des données graphiques de deuxième niveau de priorité. Par exemple, un autre graphe 62, correspondant à une même installation 30 technique à superviser, est affiché dans la zone d'affichage non prioritaire 60. Dans l'exemple de la figure 3, l'affichage dans la zone d'affichage réservée 52 est piloté par le processeur de sécurité 2, l'affichage dans la zone d'affichage complémentaire 60 est piloté par le processeur 4 fournissant des données de niveau de priorité inférieur, mais le processeur de sécurité 2 réserve l'utilisation de la zone d'affichage réservée 52, 35 qui n'est pas atteignable par le processeur 4. 3036202 8 La figure 4 illustre un deuxième exemple d'affichage réalisé par le système d'affichage de l'invention, dans le contexte de l'affichage de données de supervision d'installations techniques. Dans ce deuxième exemple, des données graphiques en provenance des deux 5 systèmes de fourniture de données de priorités différentes sont mixés sur le même écran d'affichage, dont les états d'affichage 70, 80 à deux instants temporels différents sont représentés. A l'état d'affichage 70, la zone totale d'affichage est contrôlée par le processeur 4 fournissant des données de niveau de priorité inférieur, qui affiche par exemple un graphe 10 62, fournissant des informations relatives à une installation technique donnée, divisée respectivement en 3 plages en fonction de deux valeurs de seuil Si et S2, ainsi qu'un niveau courant indiqué par un curseur 64. Lorsque le niveau courant atteint ou dépasse le premier seuil Si, le processeur de sécurité 2 définit une zone d'affichage 82 réservée, par reconfiguration du dispositif de mixage graphique 6, de manière à s'attribuer les objets 15 graphiques relatifs à des informations définies comme importantes au vu de la sécurité. Ainsi, dans cet exemple, le processeur de sécurité 2 s'attribue l'affichage de la zone du graphe 62 comprises entre les seuils Si et S2, ainsi que le curseur 66, remplaçant le curseur 64, permettant d'afficher un niveau courant. Grâce à cet arrangement, la zone d'affichage 82 est réservée, nécessairement affichée et donc visible pour un opérateur, 20 elle ne peut pas être masquée par des deuxièmes données graphiques en provenance du processeur 4. Il est à noter que les exemples illustrés aux figures 3 et 4 sont des exemples simplifiés pour faciliter les explications. En pratique, les deuxièmes données graphiques de deuxième niveau de priorité correspondent à des vues riches et détaillées, alors que 25 les premières données graphiques de premier niveau de priorité sont plus simplifiées. Ainsi, de manière analogue à l'exemple de la figure 4, une vue relativement complexe de supervision d'installation technique peut être remplacée, en fonction d'un niveau atteint, par une zone réservée simplifiée, permettant d'afficher de manière sécurisée et intègre des premières données graphiques de sécurité relatives à l'installation supervisée. 30 REVENDICATIONS1.- Système d'affichage de données de supervision d'installations techniques comportant des moyens d'affichage comportant une pluralité d'unités d'affichage, apte à afficher des données graphiques fournies par deux sources différentes, une première source fournissant de premières données graphiques ayant un premier niveau de priorité associé et une deuxième source fournissant de deuxièmes données graphiques ayant un deuxième niveau de priorité associé, le premier niveau de priorité étant supérieur au deuxième niveau de priorité, chaque source de données ayant au moins un processeur associé, caractérisé en ce qu'il comprend un dispositif de mixage graphique (6) apte à recevoir lesdites premières et deuxièmes données graphiques et à fournir en sortie des données graphiques à afficher sur chacune des unités d'affichage desdits moyens d'affichage (14), et un bus (12) de communication reliant ledit dispositif de mixage graphique (6) à un processeur (2), dit processeur de sécurité, associé à la première source, ledit processeur (2) de sécurité étant apte à contrôler, via ledit bus de communication (12), la sortie du dispositif de mixage graphique (6) de manière à assurer un affichage systématique des premières données graphiques en provenance de la première source. 2.- Système d'affichage de données selon la revendication 1, caractérisé en ce que le dispositif de mixage graphique (6) comprend une mémoire de configuration (28) apte à stocker une donnée graphique pour chaque unité d'affichage, et en ce que le processeur de sécurité (2) est apte à piloter le stockage des premières et/ou deuxièmes données graphiques dans ladite mémoire de configuration (28). 3.- Système d'affichage de données selon l'une des revendications 1 ou 2, caractérisé en ce que le dispositif de mixage graphique (6) comprend deux interfaces d'entrée (20, 22) normalisées, une première interface d'entrée (20) apte à recevoir des premières données graphiques fournies par ledit processeur (2) de sécurité et une deuxième interface d'entrée apte à recevoir des deuxièmes données graphiques de deuxième niveau de priorité fournies par un deuxième processeur (4) associé à ladite deuxième source. 3036202 10 4.- Système d'affichage de données selon l'une quelconque des revendications 1 à 3, caractérisé en ce que le dispositif de mixage graphique (6) comprend des modules générateurs d'adresse (24, 26), chacun apte à associer une adresse d'affichage, associée à une unité d'affichage des moyens d'affichage (14), à chaque première et deuxième 5 donnée graphique. 5.- Système d'affichage de données selon la revendication 4, caractérisé en ce que le dispositif de mixage graphique (6) comprend une unité d'aiguillage (32), et une unité de mémoire (38) en lien avec les moyens d'affichage (14), l'unité d'aiguillage (32) 10 permettant de sélectionner, en fonction des adresses des unités d'affichage, des données graphiques parmi les premières données graphiques et les deuxièmes données graphiques, à stocker dans l'unité mémoire (38). 6.- Système d'affichage de données selon la revendication 5, caractérisé en ce 15 qu'il comporte une unité (40) d'acheminement et de contrôle des données graphiques à afficher, issues de ladite unité mémoire (38), vers une interface de sortie normalisée (42) connectée aux moyens d'affichage (14). 7.- Système d'affichage de données selon la revendication 6, caractérisé en ce 20 que l'unité (40) d'acheminement et de contrôle des données graphiques à afficher est apte à vérifier une compatibilité des premières données graphiques et des deuxièmes données graphiques affichées simultanément sur des unités d'affichage des moyens d'affichage (14). 25 8.- Système d'affichage de données selon l'une quelconque des revendications 1 à 7, caractérisé en ce que le processeur (2) de sécurité est apte à s'attribuer au moins une zone d'affichage réservée (52, 82) desdits moyens d'affichage (14), pour affichage desdites premières données graphiques. 30