Brevet FR3036561A1 — publié le 20161125

Ensemble avionique avec surveillance de modules d'émission/réception par analyse de trafic réseau La présente invention concerne le domaine des réseaux informatiques comprenant des modules d'émission/réception de message, par exemple des modules de calcul, et des modules de transmission de messages, par exemple des commutateurs ou des routeurs. L'invention concerne plus particulièrement le domaine des systèmes avioniques, embarqués à bord des aéronefs. Les systèmes avioniques modernes se présentent sous la forme d'un réseau informatique comprenant des modules d'émission/réception de message, en particulier des modules de calcul, et des modules de transmission de messages, en particulier des commutateurs. Les systèmes avioniques sont par exemple des réseaux informatiques commutés conformes au standard ARINC 664. A des fins de fiabilité du système avionique, il est souhaitable de surveiller au moins certains des modules électroniques du système avionique, afin de détecter une défaillance éventuelle. Par ailleurs, il est souhaitable de limiter l'encombrement, le poids et le coût du système avionique. Un des buts de l'invention est de proposer un ensemble avionique permettant d'assurer une surveillance de modules électroniques connectés en réseau, tout en limitant l'encombrement, le poids et le coût de l'ensemble avionique. A cet effet, l'invention propose un ensemble avionique comprenant des modules électroniques d'un réseau informatique, les modules électroniques comprenant au moins un module d'émission/réception de messages et au moins un module de transmission de messages, le module d'émission/réception étant connecté au module de transmission de sorte que le module de transmission reçoit les messages émis par le module d'émission/réception, dans lequel le module de transmission est configuré pour déterminer au moins un message attendu devant être émis par le module d'émission/réception et pour analyser les messages transmis par le module de transmission pour vérifier l'émission, par le module d'émission/réception, d'un message émis correspondant au message attendu, en fonction d'un indicateur d'état opérationnel du ou de chaque module d'émission/réception et d'indicateurs d'état de l'aéronef. Selon des modes de réalisation particuliers, l'ensemble avionique comprend une ou plusieurs des caractéristiques suivantes, prise(s) isolément ou selon toutes les combinaisons techniquement possibles : 3036561 2 - le module de transmission est configuré pour déterminer un motif de message émis caractérisant le message attendu et pour vérifier l'émission d'un message correspondant au motif de message émis ; - le module de transmission est configuré pour déterminer un message attendu en 5 fonction d'un message reçu destiné au module d'émission/réception, le message attendu correspondant à un message devant être émis par le module d'émission/réception en réponse au message reçu ; - le module de transmission est configuré pour déterminer un message attendu pour chaque message reçu correspondant à un motif de message reçu prédéterminé ; 10 - le module de transmission est configuré pour déterminer un message attendu correspondant à un message devant être émis périodiquement par le module d'émission/réception ; - le module de transmission est configuré pour intercepter de messages émis ou reçus par le module d'émission/réception et les stocker dans une file de messages ; 15 - le module de transmission est configuré pour déclencher une temporisation associée à un message attendu et vérifier l'émission, par le module d'émission/réception, d'un message correspondant au message attendu, avant l'expiration de la temporisation ; - le module de transmission est configuré pour stocker les messages dans une file de messages et pour parcourir la file de messages à l'expiration de chaque temporisation 20 pour vérifier la présence d'un message correspondant au message attendu avant l'expiration de la temporisation ; - le module de transmission est configuré pour déterminer un instant d'expiration associée à un message attendu, insérer le message attendu dans une liste de messages attendus ordonnée en fonction de l'instant d'expiration associé à chaque message 25 attendu, et pour vérifier, à l'instant d'expiration du premier message attendu de la liste de messages attendus, la présence, dans la file de messages interceptés, d'un message émis par le module d'émission/réception et correspondant au message attendu ; - il comprend une baie définissant une pluralité d'alvéoles, le module d'émission/réception et le module de transmission étant chacun enfichable dans une 30 alvéole respective. L'invention concerne également un système avionique comprenant un ensemble avionique tel que défini ci-dessus, et un aéronef comprenant un tel système avionique. L'invention et ses avantages seront mieux compris à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple, et faite en référence aux dessins 35 annexés, sur lesquels : 3036561 3 - la Figure 1 est une vue schématique d'un système avionique comprenant un ensemble avionique comprenant plusieurs modules électroniques reçus dans une baie; et - la Figure 2 est une vue schématique en perspective de l'ensemble avionique qui comprend une baie et les modules électroniques. 5 Sur la Figure 1, un aéronef 2 comprend un système avionique 4 embarqué à' bord de l'aéronef 2. Le système avionique 4 est par exemple un système avionique de l'aéronef 2. Le système avionique 4 comprend un ensemble avionique 6 comprenant des modules électroniques d'un réseau informatique 8, les modules électroniques comprenant 10 des modules d'émission/réception 10, configurés pour l'émission de messages informatiques vers des autres modules d'émission/réception 10, et un module de transmission 12 pour la transmission des messages informatiques échangés sur le réseau informatique 8. Un module d'émission/réception 10 est par exemple un module de calcul configuré 15 pour réaliser des calculs dans un système embarqué, par exemple parmi les systèmes suivants : système de visualisation, système d'alerte, système de gestion du vol de l'aéronef, également appelé FMS (de l'anglais Flight Management System), système de positionnement par satellite, système de référence inertielle, également appelé IRS (de l'anglais Inertial Reference System), système de données air ou ADS (de l'anglais Air 20 Data System), système de maintenance centralisée, système de pilotage automatique, système de contrôle des équipements de bord (moteurs, carburant, train d'atterrissage, freinage, conditionnement d'air, pressurisation, détection d'incendie...). Cette liste n'est pas exhaustive. Un module d'émission/réception 10 peut aussi être un module auxiliaire, par 25 exemple un module d'alimentation électrique configuré pour l'alimentation électrique d'autres modules électroniques, ou un module de stockage de données pour le stockage de données pour d'autres modules électroniques, ce module d'émission/réception 10 étant configuré pour échanger des messages informatiques avec les autres modules électroniques avec lesquels il coopère. 30 Le module de transmission 12 est configuré pour transmettre les messages entre les modules d'émission/réception 10 du réseau informatique 8. Le module de transmission 12 est par exemple un routeur ou un commutateur réseau. Le module de transmission 12 est connecté aux modules d'émission/réception 10 de l'ensemble avionique 6 par des liaisons de communication 14 internes et à d'autres 35 modules d'émission/réception et/ou à d'autres modules de transmission (non représentés) du réseau informatique 8 par des liaisons de communication 16 externes. 3036561 4 Le module de transmission 12 est configuré pour, à la réception d'un message sur une ligne de communication 14, 16, déterminer la ou les lignes de communication 14, 16 vers lesquelles le message doit être transféré. Tel qu'illustré sur la Figure 1, le module de transmission 12 est un commutateur 5 réseau et comprend, pour réaliser la transmission des messages informatiques, une matrice de commutation 18, qui est par exemple conforme au standard ARINC 664. Le réseau informatique 8 est alors un réseau informatique commuté. La matrice de commutation 18 permet, à la réception d'un message sur une ligne de communication 14, 16, de déterminer la ou les lignes de communication 14, 16 vers 10 lesquelles le message doit être transféré. La matrice de commutation 18 réalise une commutation entre des liens virtuels (« virtual link »), chaque lien virtuel identifiant une communication entre un module d'émission/réception 10 émetteur déterminé, et un ou plusieurs modules d'émission/réception 10 destinataires déterminés. 15 La matrice de commutation 18 comprend une table de commutation associant les numéros de liens virtuels aux lignes de communication 14, 16 connectées au commutateur réseau 18. La trame de chaque message contient un numéro de lien virtuel, en fonction du module d'émission/réception 10 émetteur et du ou des modules d'émission/réception 10 20 destinataires. A la réception d'un message, la matrice de commutation 18 lit le numéro de lien virtuel du message, et détermine les lignes de communication 14, 16 sur lesquelles le message doit être transféré partir de la table de commutation. Le module de transmission 12 comprend un analyseur 20 configuré pour analyser 25 le trafic réseau des modules d'émission/réception 10 passant par le module de transmission 12, de manière à surveiller les modules d'émission/réception 10, pour détecter et signaler d'éventuelles défaillances des modules d'émission/réception 10. L'analyseur 20 reçoit, de chaque module d'émission/réception 10, un indicateur d'état de fonctionnement représentatif de l'état de fonctionnement courant du module 30 d'émission/réception 10, par l'intermédiaire d'une liaison de communication 22 séparée du réseau informatique 8. L'indicateur d'état de fonctionnement de chaque module d'émission/réception 10 indique par exemple si le module d'émission/réception 10 est opérationnel, auquel cas il est susceptible d'émettre des messages, ou non opérationnel, auquel cas il n'est pas 35 susceptible d'émettre des messages. L'indicateur d'état de fonctionnement de chaque module d'émission/réception 10 est de préférence un signal discret. 3036561 5 L'analyseur 20 reçoit des indicateurs d'état de l'aéronef par une liaison de communication 24 séparée du réseau informatique 8. Les indicateurs d'état de l'aéronef indiquent par exemple si l'aéronef est au sol, en vol ou en maintenance et/ou si les moteurs sont en marche ou à l'arrêt. Les indicateurs 5 d'état de l'aéronef sont de préférence des signaux discrets. Les indicateurs d'état de l'aéronef sont fournis par des capteurs disposés sur l'aéronef, par exemple pour détecter un poids sur le train d'atterrissage ou la mise en route des moteurs. L'analyseur 20 comprend des profils de trafic réseau 26 enregistrés dans une mémoire du module de transmission 12. Les profils de trafic réseau 26 caractérisent des 10 messages reçus et/ou émis par chaque module d'émission/réception 10 surveillé. Chaque profil de trafic réseau 26 est associé à un module d'émission/réception 10 surveillé, et plus particulièrement à une application logicielle exécutée par le module d'émission/réception 10. Chaque profil de trafic réseau 26 comprend un identifiant du module 15 d'émission/réception 10 surveillé associé et un identifiant de l'application logicielle exécutée par le module d'émission/réception 10 et surveillée. Chaque profil de trafic réseau 26 comprend un indicateur de contexte indiquant si les messages associés au profil de trafic réseau 26 doivent être analysés ou ignorés par l'analyseur 20, en fonction des indicateurs d'état de l'aéronef. 20 Un profil de trafic réseau 26 est dit « actif » lorsque les messages associés à ce profil de trafic réseau 26 doivent être analysés, compte tenu des indicateurs d'état de l'aéronef. Il est dit « inactif » dans le cas contraire. Chaque profil de trafic réseau 26 comprend au moins un motif de message émis caractérisant des messages émis par le module d'émission/réception 10 surveillé et qui 25 sont attendus, en fonction des conditions de fonctionnement. Un module d'émission/réception 10 émet des messages de manière périodique et/ou en réponse à des messages reçus. Si des messages émis de manière périodique par un module d'émission/réception 10 doivent être surveillés, un profil de trafic réseau 26 associé à ce module 30 d'émission/réception 10 comprend une liste d'un ou plusieurs messages émis périodiques devant être émis par le module d'émission/réception 10, et, pour chaque message émis périodique, la période maximale entre deux émissions consécutives du message émis périodique, le numéro de lien virtuel du message émis périodique, et un motif de message émis caractérisant le message émis. 35 Si des messages émis par un module d'émission/réception 10 en réponse à des messages reçus doivent être surveillés, un profil de trafic réseau 26 associé à ce module 3036561 6 d'émission/réception 10 comprend, pour chaque message reçu, un numéro de lien virtuel du message reçu, un motif de message reçu caractérisant le message reçu, et un ou plusieurs messages émis attendus en réponse au message reçus, et, pour chacun de ces messages émis, une durée maximale de réponse correspondant à la durée maximale 5 entre la réception du message reçu et l'émission du message émis, le numéro de lien virtuel du message émis, et un motif de message émis caractérisant le message émis. Un motif de message reçu ou émis caractérise la trame du message reçu ou émis. Un motif de message reçu ou émis est par exemple une expression caractéristique qui se retrouve dans la trame du message reçu ou émis, et qui permet de déterminer que ce 10 message reçu et émis correspond à un message attendu. Une expression caractéristique est par exemple une ou plusieurs suites d'octets dans la trame du message. L'analyse de la trame d'un message reçu ou émis par un module d'émission/réception 10 permet de détecter l'expression caractéristique dans la trame du message, pour déterminer si le message correspond bien à un motif de message reçu ou 15 émis surveillé. La comparaison d'un message émis ou reçus à un motif de message permet de sélectionner les messages par un traitement simple et rapide, sans interpréter les messages, c'est-à-dire sans déterminer les données contenues dans les messages. L'analyseur 20 comprend un intercepteur de message 28, configuré pour 20 intercepter chaque message reçu ou émis par un module d'émission/réception 10 surveillé, et correspondant à un motif de message surveillé. L'intercepteur de message 28 reconfigure la matrice de commutation 18 de façon à intercepter chaque message transitant sur un lien virtuel correspondant à un profil de message surveillé. 25 A cet effet, l'intercepteur de message 28 reconfigure la table de commutation de façon à ajouter, pour chaque numéro de lien virtuel correspondant à motif de message surveillé, un transfert supplémentaire du message vers l'intercepteur de message 28 lui-même. L'intercepteur de message 28 est configuré pour horodater chaque message 30 intercepté et pour stocker les messages interceptés dans une liste de messages 30. La liste de messages 30 est par exemple une liste du type premier entré premier sorti (ou FIFO qui est l'acronyme de First In First Out). L'horodatage et le stockage des messages interceptés dans une liste évitent de perdre des messages. Le module de transmission 12 comprend un comparateur 32 configuré pour traiter 35 les messages interceptés, de manière à déterminer s'ils correspondent à des messages émis par les modules d'émission/réception 10 surveillés et dont l'émission est attendue. 3036561 7 A cette fin, le comparateur 32 gère des temporisations afin de vérifier que les messages attendus ont bien été interceptés durant les périodes temporelles définies par les profils de trafic réseau. Lorsque le comparateur 32 devient opérationnel, par exemple après un 5 redémarrage de l'analyseur 20, le comparateur 32 identifie quels modules d'émission/réception 10 sont à l'état opérationnel. Pour chacun de ces modules, le comparateur 32 supprime de la liste de messages 30 tous les messages émis par ce module d'émission/réception 10. Ensuite, pour chaque profil de trafic réseau 26 à l'état actif, associé à ce module d'émission/réception 10, et contenant des profils de message 10 périodique, le comparateur 32 déclenche les temporisations correspondant à ces messages périodiques. Le comparateur 32 reçoit les indicateurs d'état de fonctionnement des modules d'émission/réception 10. Lorsqu'un module d'émission/réception 10 passe dans l'état opérationnel, le 15 comparateur 32 supprime de la liste de messages 30 tous les messages émis par ce module d'émission/réception 10. Ensuite, pour chaque profil de trafic réseau 26 à l'état actif, associé à ce module d'émission/réception 10, et contenant des motifs de message émis périodiques, le comparateur 32 déclenche les temporisations correspondant à ces messages émis périodiques. 20 Lorsqu'un module d'émission/réception 10 devient non opérationnel, le comparateur 32 supprime toutes les temporisations associées à ce module d'émission/réception 10. Le comparateur 32 reçoit les indicateurs d'état de l'aéronef par la liaison de communication 24. Lorsqu'un de ces indicateurs d'état de l'aéronef change, le 25 comparateur 32 détermine quels profils de trafic réseau 26 passent de l'état actif à l'état inactif, ou de l'état inactif à l'état actif. Pour chaque profil de trafic réseau 26 passant à l'état actif, le comparateur 32 supprime de la liste de messages 30 tous les messages correspondant au profil de trafic réseau 26, puis il déclenche les temporisations correspondant à chaque motif de 30 message émis périodique du profil de trafic réseau 26. Pour chaque profil de trafic réseau 26 passant à l'état inactif, le comparateur 32 supprime toutes les temporisations associées au profil de trafic réseau. Lorsque le comparateur 32 reçoit un message correspondant à un motif de message reçu d'un profil de trafic réseau 26 actif, et si le module d'émission/réception 10 35 récepteur du message reçu est à l'état opérationnel, le comparateur 32 déclenche une 3036561 8 temporisation pour le ou chaque motif de message émis associé au motif de message reçu. Lorsque le comparateur 32 reçoit un message correspondant à un motif de message émis d'un profil de trafic réseau 26 actif, si une temporisation a été déclenchée 5 pour ce motif de message émis, le comparateur 32 supprime cette temporisation. Si le message reçu par le comparateur 32 correspond à motif de message émis périodique d'un profil de trafic réseau 26 actif, et que le module d'émission/réception 10 émetteur de ce message est à l'état opérationnel, le comparateur 32 déclenche une nouvelle temporisation correspondant au prochain message émis attendu. 10 Lorsqu'une temporisation arrive à son terme, et que le module d'émission/réception 10 correspondant est à l'état opérationnel, le comparateur 32 cherche dans la file de messages 30 le message émis par le module d'émission/réception 10 et correspondant au motif de message émis associé à la temporisation. Si ce message émis n'est pas trouvé ou si l'horodatage du message émis est postérieur au terme de la 15 temporisation, le comparateur 32 émet un message de dysfonctionnement. Si la temporisation est associée à un message émis périodique, le comparateur 32 déclenche une nouvelle temporisation. Le cas échéant, lorsque la liste de messages 30 est pleine, le comparateur 32 émet une notification de dysfonctionnement, vide la liste, arrête toutes les temporisations 20 en cours, et, le cas échéant, déclenche à nouveau les temporisations associées aux motifs de message émis périodique attendus de modules d'émission/réception 10 opérationnels et apparaissant dans des profils de trafic réseau 26 à l'état actif. Dans une variante, le comparateur 32 est configuré pour déterminer, pour chaque message émis attendu, un instant d'expiration, et pour stocker les messages émis 25 attendus dans une liste de messages attendus ordonnée en fonction de leur instant d'expiration, et pour vérifier, à l'instant d'expiration expirant en premier, la présence d'un message émis intercepté correspondant au message émis attendu et disposant d'un horodatage antérieur à l'instant d'expiration. Cette variante présente l'avantage que le comparateur 32 n'a pas besoin de gérer 30 une pluralité de temporisations en parallèle. Le comparateur 32 analyse les messages émis attendus successivement, dans l'ordre de leurs instants d'expiration respectifs. Le système avionique 4 comprend de préférence un système de gestion supervisant les modules électroniques 10, 12. Les messages de notification de dysfonctionnement émis par le comparateur 32 sont envoyés au système de gestion, par 35 exemple via le commutateur 18. 3036561 9 L'analyseur 20 est de préférence un composant électronique programmable, par exemple un circuit logique programmable (ou FPGA pour Field Programmable Gate Array en anglais). En variante, l'analyseur 20 est un circuit intégré spécialisé par exemple un ASIC (pour Application Specific Integrated Circuit en anglais), ou un programme 5 d'ordinateur enregistré sur une mémoire et comprenant des instructions de code informatique propres à être exécutée par un processeur du module de transmission 12. Le composant électronique programmable et le programme d'ordinateur présentent l'avantage de pouvoir être reprogrammés ou mis à jour, par exemple si un nouveau module d'émission/réception 10 est intégré dans l'ensemble avionique 6. 10 Comme visible sur la Figure 2, l'ensemble avionique 4 est un ensemble électronique modulaire comprenant une baie 34 dans laquelle sont reçus les modules électroniques 10, 12 de l'ensemble avionique 4, les modules électroniques 10, 12 étant enfichables dans la baie 34. Comme illustré sur la Figure 2, la baie 34 comprend un coffret 35 dans lequel sont 15 définies une pluralité d'alvéoles 36 pour la réception des modules électronique 10, 12. Chaque alvéole 36 est prévue pour la réception d'un module électronique 10, 12 respectif. Chaque module électronique 10, 12 est enfichable dans une alvéole 36 respective de la baie 34. La baie 34 comprend des connecteurs de baie 42 disposés au fond des alvéoles 20 36 et complémentaires de connecteurs de module 44 prévus sur les modules électroniques 10, 12 et disposés de façon que l'insertion d'un module électronique 10, 12 dans l'alvéole 36 correspondante provoque la mise en prise des connecteurs de module 44 de ce module électronique 10, 12 avec les connecteurs de baie 42 prévus au fond de l'alvéole 36. 25 Les connecteurs de baie 42 sont connectés entre eux par des liaisons de communication du réseau informatique 8 (liaisons de communication 14 internes), par des liaisons de communication séparées du réseau informatique 8 (liaisons de communication 22, 24), par des liaisons d'alimentation et/ou par des liaisons de courant. Les modules électroniques 10, 12 peuvent comprendre plusieurs modules de 30 calcul pour la réalisation de calculs, et des modules auxiliaires fournissant chacun un service aux autres modules électroniques 10, 12 de l'ensemble avionique 6 (alimentation électrique, stockage de données...). Il n'est donc pas nécessaire de prévoir des modules de calcul ayant chacun une alimentation respective, une protection anti-foudre respective et/ou un dispositif de 35 stockage de données respectif. 3036561 10 La communalisation de certaines fonctions auxiliaires permet d'obtenir un ensemble avionique 6 plus léger et plus compact à performances égales. Le système avionique 4 intégrant l'ensemble avionique 6 est ainsi plus léger et plus compact, ce qui est particulièrement avantageux dans le cas d'un système avionique. 5 L'ensemble avionique 6 est modulaire, les modules électroniques 10, 12 enfichables dans la baie 34 pouvant être insérés dans ou extraits hors de l'ensemble avionique 6 de manière très facile. Avantageusement, un système avionique 4 comprend plusieurs ensembles avioniques 6 modulaires. 10 La prévision d'au moins un module de transmission 12 dans l'ensemble avionique 6 permet de réaliser très facilement un réseau informatique, en particulier dans un système avionique comprenant plusieurs ensembles avioniques 6. La surveillance des modules d'émission/réception 10 par le module de transmission 12 auquel ils sont connectés et qui est reçu dans la baie 34, permet une 15 surveillance efficace des modules d'émission/réception 10. L'invention n'est pas limitée au mode de réalisation illustré. Dans une variante, l'ensemble avionique 6 comprend plusieurs modules de transmission 12, en particulier deux modules de transmission 12. De préférence, chaque module de transmission 12 reçoit chaque message émis par chaque module 20 d'émission/réception 10 de l'ensemble avionique 6. L'ensemble avionique 6 comprend au moins un module électronique réalisant une fonction auxiliaire (alimentation, stockage de données...) pour plusieurs autres modules électroniques de l'ensemble avionique 6 est particulièrement avantageux. En variante, les modules électroniques de l'ensemble avionique 6 sont des 25 modules de calcul ou des modules de transmission qui sont indépendants pour leurs fonctions auxiliaires, en particulier pour leur alimentation et/ou leur stockage de données. REVENDICATIONS1.- Ensemble avionique comprenant des modules électroniques d'un réseau informatique (8), les modules électroniques comprenant au moins un module d'émission/réception (10) de messages et au moins un module de transmission (12) de messages, le module d'émission/réception (10) étant connecté au module de transmission (12) de sorte que le module de transmission (12) reçoit les messages émis par le module d'émission/réception (10), dans lequel le module de transmission (12) est configuré pour déterminer au moins un message attendu devant être émis par le module d'émission/réception (10) et pour analyser les messages transmis par le module de transmission (12) pour vérifier l'émission, par le module d'émission/réception (10), d'un message émis correspondant au message attendu, en fonction d'un indicateur d'état opérationnel du ou de chaque module d'émission/réception et d'indicateurs d'état de l'aéronef. 2.- Ensemble avionique selon la revendication 1, dans lequel le module de transmission (12) est configuré pour déterminer un motif de message émis caractérisant le message attendu et pour vérifier l'émission d'un message correspondant au motif de message émis. 3.- Ensemble avionique selon la revendication 1 ou la revendication 2, dans lequel le module de transmission (12) est configuré pour déterminer un message attendu en fonction d'un message reçu destiné au module d'émission/réception (10), le message attendu correspondant à un message devant être émis par le module d'émission/réception (10) en réponse au message reçu. 4.- Ensemble avionique selon la revendication 3, dans lequel le module de transmission (12) est configuré pour déterminer un message attendu pour chaque message reçu correspondant à un motif de message reçu prédéterminé. 5.- Ensemble avionique selon l'une quelconque des revendications précédentes, dans lequel le module de transmission (12) est configuré pour déterminer un message attendu correspondant à un message devant être émis périodiquement par le module d'émission/réception (10). 6.- Ensemble avionique selon l'une quelconque des revendications, dans lequel le module de transmission (12) est configuré pour intercepter de messages émis ou reçus par le module d'émission/réception (10) et les stocker dans une file de messages. 7.- Ensemble avionique selon l'une quelconque des revendications précédentes, dans lequel le module de transmission (12) est configuré pour déclencher une temporisation associée à un message attendu et vérifier l'émission, par le module 3036561 12 d'émission/réception (10), d'un message correspondant au message attendu, avant l'expiration de la temporisation. 8- Ensemble avionique selon la revendication 7, dans lequel le module de transmission (12) est configuré pour stocker les messages dans une file de messages et 5 pour parcourir la file de messages à l'expiration de chaque temporisation pour vérifier la présence d'un message correspondant au message attendu avant l'expiration de la temporisation. 9.- Ensemble avionique selon la revendication 6, dans lequel le module de transmission (10) est configuré pour déterminer un instant d'expiration associée à un 10 message attendu, insérer le message attendu dans une liste de messages attendus ordonnée en fonction de l'instant d'expiration associé à chaque message attendu, et pour vérifier, à l'instant d'expiration du premier message attendu de la liste de messages attendus, la présence, dans la file de messages interceptés, d'un message émis par le module d'émission/réception (10) et correspondant au message attendu. 15 10.- Ensemble avionique selon l'une quelconque des revendications précédentes, comprenant une baie définissant une pluralité d'alvéoles, le module d'émission/réception (10) et le module de transmission (12) étant chacun enfichable dans une alvéole respective. 11.- Système avionique comprenant un ensemble avionique selon l'une 20 quelconque des revendications précédentes. 12.- Aéronef comprenant un système avionique selon la revendication 11.