Brevet FR3051929A1 — publié le 20171201

CIRCUIT D'ARBITRAGE TEMPOREL Domaine technique de l'invention L'invention est relative à un circuit d'arbitrage temporel délivrant un signal d'horloge. État de la technique Aujourd'hui, de nombreux dispositifs électroniques comportent une base de temps qui définit l'heure à l'intérieur du dispositif électronique via par exemple un code horaire. Cependant, cette base de temps n'est pas parfaite et notamment en ce qui concerne son exactitude. Selon la qualité de la base de temps, cette dernière peut dériver de plusieurs secondes par jour et de manière aléatoire, par exemple en fonction des conditions climatiques et ou de vibrations dans son environnement proche. Ce point n'est pas réellement problématique si la dérive est faible et si le dispositif électronique reste autonome et isolé. En revanche, dans un réseau informatique, il est particulièrement important d'assurer la synchronisation des bases de temps des différents systèmes informatiques qui communiquent entre eux. Une bonne gestion du temps est notamment utile voire vitale pour la gestion des transactions dans des bases de données ou pour plus généralement le suivi des actions dans le réseau informatique. C'est pourquoi, dans de nombreux réseaux informatiques, l'heure est fixée par un signal qui impose une « heure de réseau » de référence. Dans de nombreux domaines d'activité, il est nécessaire de posséder un signal d'horloge qui est sécurisé afin de s'assurer que les différentes actions réalisées 3051929 2 sont conformes au bon fonctionnement d'une structure, d'une profession ou d'une organisation. Ce signal d'horloge sécurisé apparaît très important pour la sécurisation d'un 5 réseau informatique ou d'un système de distribution d'un code horaire présent sur un territoire national ou local. De cette manière, plusieurs intervenants peuvent interagir ensemble tout en étant en mesure de savoir chronologiquement qu'elles ont été les actions réalisées. Il apparaît également très important de maîtriser la distribution du temps par exemple dans le 10 domaine du contrôle aérien, du transport ferroviaire, de la sécurité des transactions bancaires ou dans la gestion des infrastructures liées au transport du courant électrique. Ce signal d'horloge sécurisé peut trouver un intérêt dans la distribution d'une 15 heure de référence qui peut par exemple se présenter sous la forme d'une heure représentative d'une heure légale. L'heure légale est définie par un équipement strictement défini, par exemple un observatoire, et il existe un intérêt à distribuer, de manière sécurisée, une heure de référence à partir de cette heure légale. 20 Afin de garantir un certain niveau de sécurité, il est important que l'heure véhiculée soit vérifiée pour détecter les risques de défaillance d'un des éléments intervenant dans la fourniture d'une référence ou éventuellement les actes de malveillance. 25 Objet de l'invention Un objet de l'invention consiste à remédier à ces inconvénients, et à réaliser un 30 circuit d'arbitrage temporel qui permet d'assurer la délivrance d'un signal d'horloge plus sécurisé. 3051929 3 A cet effet, le circuit d'arbitrage temporel comporte : - un comparateur comportant au moins des première et deuxième entrées et configuré pour fournir au moins une première information relative à l'état de 5 synchronisation des signaux présents sur les première et deuxième entrées, - un générateur de signal d'horloge connecté à une borne de sortie du circuit d'arbitrage et délivrant un signal d'horloge de sortie, - un circuit de commande configuré pour autoriser ou bloquer la délivrance du signal d'horloge de sortie sur la borne de sortie en fonction de la première 10 information du comparateur et/ou pour délivrer une information relative à l'état de synchronisation en fonction de la première information, - la première entrée du comparateur est connectée à une première borne d'entrée du circuit d'arbitrage destinée à être connectée à une première source délivrant un premier signal d'horloge, 15 - la deuxième entrée du comparateur est destinée à être connectée à une deuxième source délivrant un deuxième signal d'horloge. Description sommaire des dessins 20 D'autres avantages et caractéristiques ressortiront plus clairement de la description qui va suivre de modes particuliers de réalisation de l'invention donnés à titre d'exemples, non limitatifs, et représentés aux dessins annexés, dans lesquels : - la figure 1 illustre de façon schématique un mode de réalisation d'un circuit 25 d'arbitrage temporel avec une source de synchronisation externe et une source de synchronisation interne, - la figure 2 illustre de façon schématique un mode de réalisation d'un circuit d'arbitrage temporel avec deux sources de synchronisation externes, - la figure 3 illustre de façon schématique un mode de réalisation d'un circuit 30 d'arbitrage temporel avec deux sources de synchronisation externes et une source de synchronisation interne, 3051929 4 - la figure 4 illustre de façon schématique un mode de réalisation particulier d'un comparateur, - la figure 5 illustre de façon schématique un mode de réalisation d'un circuit d'arbitrage temporel avec trois sources de synchronisation externes, 5 - la figure 6 illustre de façon schématique un mode de réalisation d'un circuit d'arbitrage temporel avec trois sources de synchronisation externes et des circuits de traitement. 10 Description d'un mode de réalisation préférentiel de l'invention Comme illustré aux figures 1 à 6, le circuit d'arbitrage temporel 1 comporte un comparateur 2 muni d'au moins des première et deuxième entrées. Le comparateur 2 est configuré pour comparer les signaux appliqués sur les 15 différentes entrées, par exemple des première, deuxième et éventuellement troisième entrées et pour fournir une première information D représentative de l'état de synchronisation entre les signaux présents sur les différentes entrées. Le comparateur 2 permet de comparer les différents signaux horaires appliqués 20 en entrée afin de détecter si ces derniers sont synchronisés ou non. Si les signaux sont synchronisés, le circuit d'arbitrage 1 peut conclure que les sources fonctionnent parfaitement et que la transmission du signal est bonne. En revanche, si au moins un des signaux est désynchronisé, le circuit d'arbitrage peut conclure que l'une des sources présente une défaillance ou est la cible 25 d'une malveillance. Le signal d'horloge en entrée et/ou en sortie peut être représenté sous la forme d'un code horaire ou d'un protocole horaire. Le signal d'horloge à analyser peut être composé d'un premier signal dit TOD pour Time Of Day et d'un deuxième 30 signal dit PPS pour Pulse Per Second. La comparaison des signaux peut être décomposée en deux comparaisons pour chacune des composantes. 3051929 5 Cependant, la criticité liée au premier signal est plus faible en comparaison de celle liée au deuxième signal car une incohérence et/ou un décalage sont plus faciles à détecter. Le signal dit PPS peut être utilisé pour définir la précision du circuit d'arbitrage. La détection d'un écart peut être réalisée, par exemple, sur la 5 base d'un front montant. Lorsque le signal d'horloge comporte plusieurs composantes, il est avantageux de prévoir un comparateur configuré pour fournir une première information D qui inclut des données sur la synchronisation de chacune des composantes ou 10 de une ou plusieurs des composantes des différents signaux à comparer. Le circuit d'arbitrage temporel 1 comporte un générateur de signal d'horloge G. Le générateur de signal d'horloge G va fournir un signal d'horloge de sortie Co à une borne de sortie O du circuit d'arbitrage temporel 1. Le générateur de signal 15 d'horloge G est interne au circuit d'arbitrage temporel 1 ce qui permet de le protéger d'actes de malveillance. La qualité du générateur de signal d'horloge G permet de définir son niveau de performance et notamment la qualité du signal Co délivré par le circuit d'arbitrage temporel, par exemple la qualité de l'heure fournie par le circuit 1. 20 Dans un mode de réalisation privilégié, le générateur de signal d'horloge G est réalisé par un oscillateur à quartz, par exemple un oscillateur à quartz de type TCXO ou un oscillateur à quartz de type OCX0. En variante, le générateur peut être réalisé par un micro-oscillateur atomique, de préférence à base de 25 rubidium ou de césium. Les oscillateurs à quartz de type TCXO sont des oscillateurs thermocompensés ce qui assure une stabilité en fréquence même si la température du milieu extérieur évolue. La stabilité en fréquence est obtenue en surveillant la 30 température de fonctionnement de l'oscillateur électronique à quartz en fonction de la température extérieure. La plage de fonctionnement d'un tel oscillateur est 3051929 6 comprise entre -20°C et 70°C. La stabilité en fréquence d'un tel oscillateur est de l'ordre de quelques ppm. Les oscillateurs à quartz de type OCX0 sont des oscillateurs à four qui sont 5 configurés pour délivrer une température fixée et régulée à l'oscillateur. De cette manière, l'oscillateur est isolé des variations du milieu extérieur ce qui permet de réduire voire d'annuler les variations de fréquences liées aux variations de la température extérieure. La plage de fonctionnement d'un tel oscillateur est comprise entre -20°C et 70°C. La stabilité en fréquence d'un tel oscillateur est 10 de l'ordre de quelques 10-8 voire quelques 10-9 pour des dispositifs plus performants voire quelques 10-12 pour des dispositifs encore plus performants tels que des dispositifs à double four. Les micro-oscillateurs atomiques utilisent quant à eux des propriétés physiques 15 quasi invariantes de certains éléments chimiques afin de générer des signaux d'horloge à une fréquence très stable. Le micro-oscillateur atomique peut être à base de rubidium ou de césium. La plage de fonctionnement d'un tel oscillateur est comprise entre -40°C et 80°C. La stabilité en fréquence d'un tel oscillateur est au minimum de l'ordre de quelques 10-19 voire quelques 10-12 pour les 20 dispositifs les plus performants. En variante, il est également possible d'utiliser un oscillateur ayant des performances moins bonnes que ceux précédemment cités. Il est alors nécessaire de synchroniser cet oscillateur sur un signal de référence de 25 manière régulière. La qualité du générateur G est avantageusement liée à la performance recherchée sur le signal Co. Une diminution des performances du générateur G peut être envisagée selon les besoins de l'utilisateur. Le générateur de signal d'horloge G va délivrer le signal d'horloge Ci sur la 30 sortie O du circuit d'arbitrage 1. Ce signal d'horloge est délivré avec un haut niveau de fiabilité car il provient d'un générateur qui est interne au circuit 3051929 7 d'arbitrage 1. La qualité du générateur de signal d'horloge est définie en fonction des besoins de l'utilisateur, c'est-à-dire en fonction des contraintes imposées sur la dérive acceptable, pour une période de temps fixée, lorsque le générateur G n'est pas asservi, ni synchronisé à une autre source S. De 5 manière avantageuse, le générateur G présente un niveau de performance au moins égal au niveau de la performance minimale des sources externes de synchronisation. Le circuit d'arbitrage temporel 1 comporte encore un circuit de commande 3. Le 10 circuit de commande 3 reçoit en entrée la première information D en provenance du comparateur 2. Le circuit de commande 3 peut être configuré pour autoriser ou bloquer la délivrance du signal d'horloge de sortie Co en provenance du générateur de signal d'horloge G en fonction de l'état de la première information D. Le circuit de commande 3 peut également délivrer une 15 information à l'utilisateur en plus ou à la place du signal Co. Cette information est fonction de la première information D fournie par le comparateur 2 même si le circuit de commande 3 a décidé d'autoriser ou de bloquer la délivrance du signal d'horloge de sortie Co. 20 Le circuit de commande 3 peut être réalisé par un microcontrôleur, un circuit logique programmable (par exemple de type FPGA pour field-programmable gate array) ou par un dispositif logique câblé. Dans un mode de réalisation particulier, le circuit de commande 3 comporte un 25 interrupteur connecté entre la sortie du générateur de signal d'horloge G et la sortie du circuit d'arbitrage de manière à autoriser ou à bloquer la délivrance du signal d'horloge de sortie Co. Le circuit de commande 3 autorise ou bloque la délivrance du signal d'horloge de sortie en fonction d'informations fournies par le comparateur 2. En d'autres termes, le signal Co est égal au signal Ci ou est 30 nul. En variante, le signal Co peut également inclure d'autres informations par exemple des indications sur le mode de fonctionnement du circuit d'arbitrage, 3051929 8 sur l'état des signaux de synchronisation et notamment des indications expliquant que le circuit 1 fonctionne en mode incertain car une de ses sources de synchronisation n'est pas synchronisée. 5 Il est particulièrement avantageux de prévoir que la première information D est obtenue au moyen de la mesure d'un écart temporel entre le signal appliqué sur la première entrée du comparateur 2 et le signal appliqué sur la deuxième entrée du comparateur 2. Le comparateur 2 est donc configuré pour mesurer l'écart temporel entre les signaux appliqués sur ses première et deuxième 10 entrées. Cet écart temporel est typiquement de l'ordre d'une fraction de seconde. Si le signal comporte plusieurs composantes, le comparateur 2 peut être configuré pour mesurer l'écart temporel de plusieurs composantes ou de chacune des composantes. 15 En variante qui peut être combinée avec le mode de réalisation précédent, le comparateur 2 ou le circuit de commande 3 peut être configuré pour calculer l'évolution de l'écart temporel ou la vitesse d'évolution de l'écart temporel sur une période de temps prédéterminée. 20 La première source de signal 51 peut être réalisée de différentes manières et par exemple par une source unidirectionnelle. Dans un premier mode de réalisation, la première source est une source de synchronisation satellitaire et le circuit d'arbitrage temporel est relié, au moyen de sa première entrée 11, à un récepteur de type système de positionnement par satellites (ou GNSS pour 25 Global Navigation Satellite System). Selon les modes de réalisation, le récepteur peut utiliser un seul système de positionnement par satellites tel que les systèmes GPS, GLONASS, GALILEO ou BEIDU. En variante, il est possible de prévoir que le récepteur peut utiliser simultanément plusieurs systèmes de positionnement par satellites parmi ceux cités précédemment. De manière 30 avantageuse, le circuit d'arbitrage est synchronisé sur un signal en provenance d'un ou plusieurs satellites. 3051929 9 Dans un autre mode de réalisation, la première source Si est un Protocole d'Heure Réseau (NTP pour Network Time Protocol). Ce protocole délivre une heure de référence qui permet de synchroniser une horloge à partir d'un 5 serveur de référence. Ce signal de synchronisation Cl est appliqué sur la première entrée 11. Dans un autre mode de réalisation, la première source Si est un Protocole d'Heure de Précision (PTP pour Precision Time Protocol). Ce protocole est 10 établi selon le principe d'horloge maître et d'horloges esclaves qui est avantageusement associé à un système d'horodatage, de préférence un système d'horodatage électronique (appelé en anglais « Time Stamp Hardware »). L'horloge maître servant de référence temporelle est appelée « horloge de référence ». Son heure est synchronisée, de préférence via GPS 15 ou via un autre protocole, sur une horloge appelée horloge globale. Ce signal de synchronisation Cl est appliqué sur la première entrée I1. Dans encore un autre mode de réalisation, la première source 51 est encore un signal électronique en provenance d'une horloge atomique. 20 Il est encore possible de prévoir que la première source 51 est une source qui émet un signal par onde hertzienne, par exemple un signal horaire par onde hertzienne. 25 À titre d'exemple, le circuit de commande 3 peut être configuré pour autoriser un décalage de 1 % entre les signaux appliqués sur les première et deuxième entrées sur une période d'une heure. Si le comparateur détecte que le décalage est inférieur à 1 %, ce dernier considère que les signaux sont synchronisés. En revanche, si le circuit de commande 3 détecte que le décalage est supérieur à 1 30 %, les signaux sont considérés désynchronisés et une action est réalisée par le circuit de commande 3. Les signaux sont considérés désynchronisés car la 3051929 10 dérive d'un signal par rapport à l'autre se produit très rapidement même si en valeur absolue l'écart temporel n'a pas encore atteint une valeur seuil définie précédemment. La valeur du décalage est avantageusement définie par rapport à la source de synchronisation la moins performante pour définir une valeur 5 seuil qui vient encadrer une éventuelle dérive par rapport à la source la plus performante. De manière avantageuse, si la dérive d'un signal par rapport à l'autre est très rapide, le circuit de commande 3 est configuré pour engager une action, par 10 exemple envoyer une information sur la dérive ou la vitesse de dérive des signaux et/ou pour empêcher la synchronisation du générateur de signal G par rapport l'une des sources de synchronisation qui sont appliquées en entrée. Le circuit de commande 3 est également configuré pour suivre l'évolution du décalage entre les première et deuxième sources sur une période de temps 15 prédéfinie. Si à la fin de la période de temps prédéfinie, le circuit de commande considère que la vitesse de dérive est trop importante, le générateur de signal d'horloge G est maintenu non asservi. Dans un mode de réalisation particulier illustré à la figure 1, le générateur de 20 signal d'horloge G est connecté à la deuxième entrée du comparateur 2. Le comparateur 2 émet une première information D représentative de la synchronisation entre le signal présent sur sa première entrée et le signal émis par le générateur de signal G. 25 Utiliser le générateur de signal d'horloge G comme une source de synchronisation apparaît comme une sécurité. En effet, le générateur de signal d'horloge G est un élément connu et dont les performances sont maîtrisées. Le générateur de signal G étant interne au circuit d'arbitrage 1, il est protégé de nombreuses perturbations extérieures et notamment des perturbations 30 malveillantes. 3051929 11 De manière avantageuse, le circuit de commande 3 est configuré pour bloquer la délivrance du signal de sortie Co lorsque le comparateur 2 détecte que le signal présent sur la première entrée 11 n'est plus synchronisé avec le signal d'horloge Ci émis par le générateur G et appliqué sur la deuxième entrée. Le 5 circuit de commande 3 peut être configuré de manière à bloquer la délivrance du signal d'horloge de sortie lorsque l'écart temporel entre le signal présent sur la première entrée 11 par rapport au signal émis par le générateur G atteint une valeur seuil et/ou si la vitesse de dérive de l'écart temporel atteint une valeur seuil. 10 Dans cette configuration avec une seule source externe de synchronisation, le circuit d'arbitrage temporel 1 ne peut pas déterminer si l'absence de synchronisation est due à un décalage du signal émis par le générateur G ou à un décalage du signal émis par la première source S1. Afin d'éviter la 15 délivrance d'un signal d'horloge Co qui peut être corrompu, le circuit d'arbitrage temporel 1 bloque la délivrance du signal d'horloge de sortie. En alternative moins avantageuse, il est possible d'autoriser la délivrance du signal Co pendant une période prédéterminée en indiquant à l'utilisateur que le signal de sortie Co est dégradé. Il est également possible de combiner ces deux modes 20 de réalisation. Cette configuration particulière avec une source externe et une source interne n'est pas optimale car elle ne permet pas la délivrance d'un signal de sortie sécurisé pendant une longue période de temps. Il n'est pas avantageux de 25 synchroniser le générateur G sur la source externe car une dérive lente de la source externe peut être répercutée dans le générateur. Cependant, cette configuration peut néanmoins sembler intéressante car elle peut être utilisée comme un mode de fonctionnement dégradé pour certains des 30 modes de réalisation à suivre lorsqu'une source de synchronisation externe a été exclue. 3051929 12 Dans un autre mode de réalisation illustré à la figure 2, les première et deuxième entrées du comparateur 2 sont respectivement connectées à des première et deuxième entrées 11 et 12 du circuit d'arbitrage temporel 1. Les 5 première et deuxième entrées 11 et 12 du circuit d'arbitrage sont elles-mêmes reliées à des première et deuxième sources S1 et S2 configurées pour générer des premier et deuxième signaux d'horloge Cl et C2. La première source S1 est distincte de la deuxième source S2. Les première et deuxième sources S1 et S2 sont distinctes du générateur de signal d'horloge G. 10 Les première et deuxième sources S1 et S2 peuvent être choisies parmi les sources présentées pour le mode de réalisation précédent. Les sources S1 et S2 peuvent être des sources externes comme indiqué précédemment ou en variante, l'une des sources est un générateur interne qui est distinct du 15 générateur G. Comme dans le mode de réalisation précédent, le comparateur 2 est configuré pour détecter si les signaux Cl et C2 présents sur les première et deuxième entrées sont synchronisés ou non. Le comparateur 2 va émettre une première 20 information D représentative de cette synchronisation. En fonction de cette information, le circuit de commande 3 va autoriser ou bloquer la délivrance du signal d'horloge de sortie Co émis à partir du générateur de signal G et/ou délivrer une information relative à l'état de fonctionnement du circuit d'arbitrage. 25 Lorsque le circuit d'arbitrage comporte ou est connecté à deux sources de synchronisation S1 et S2 en plus du générateur G, il est possible d'asservir le générateur G à l'une des sources ou de ne pas asservir le générateur G. L'asservissement peut être réalisé en modifiant l'oscillation de l'oscillateur se 30 trouvant dans le générateur ou en modifiant le signal émis par le générateur pour ajouter le décalage temporel qui existe entre le générateur à la source de 3051929 13 synchronisation utilisée pour l'asservissement. De cette manière, le signal de sortie correspond au signal de la source de synchronisation bien qu'il provienne du générateur G. 5 Dans un mode de réalisation particulier, le générateur G n'est pas asservi par la première source S1, ni par la deuxième source S2 que les signaux Cl et C2 soient synchronisés ou non. Il est particulièrement avantageux de prévoir que le circuit de commande 3 10 autorise la synchronisation du générateur G avec le signal émis par la première source Si ou avec le signal émis par la seconde source S2 lorsque ces dernières sont synchronisées. Cette configuration permet d'asservir le générateur G sur des périodes de temps importantes. Il est également avantageux de prévoir que le circuit de commande 3 empêche la 15 synchronisation du générateur G au moyen des premier et deuxième signaux Cl et C2 lorsque ces derniers sont désynchronisés. Le générateur G est alors dans un mode non asservi, également dit « hold over ». Ce mode de réalisation est plus avantageux que le précédent car les deux 20 sources de synchronisation externes permettent de synchroniser le générateur G quand les sources externes sont synchronisées entre elles. Il est donc possible de suivre et de corriger une dérive du générateur G. Dans un autre mode de réalisation illustré à la figure 3, le comparateur 2 25 comporte des première, deuxième et troisième entrées. Les première et deuxième entrées sont connectées respectivement à des première et deuxième sources Si et S2 distinctes et qui génèrent des premier et deuxième signaux d'horloge Cl et C2. Les sources sont avantageusement des sources externes. La première source n'est pas asservie à la deuxième source et la deuxième 30 source n'est pas asservie à la première source. 3051929 14 La troisième entrée du comparateur 2 est connectée au générateur de signal G qui intervient comme troisième source de signal, une source de synchronisation interne. Le comparateur 2 est configuré pour délivrer une première information sur l'état de synchronisation des différents signaux présents sur ses première, 5 deuxième et troisième entrées. Comme pour le mode de réalisation illustré à la figure 2, le générateur de signal G peut être asservi au moyen des signaux Cl et C2 dans des conditions particulières ou il peut être en mode non asservi tout le temps, c'est-à-dire 10 même lorsque les signaux Cl et C2 sont synchronisés. Dans un mode de réalisation particulier illustré à la figure 4, le comparateur 2 est divisé en comparateurs élémentaires de manière à pourvoir mesurer la synchronisation de plusieurs couples différents de signaux. Dans l'exemple 15 illustré, le comparateur 2 est formé par trois comparateurs élémentaires 2a, 2b et 2c. Le comparateur 2a est configuré pour mesurer la synchronisation entre les signaux présents sur ses première et deuxième entrées. Le comparateur est également configuré pour mesurer séparément la synchronisation entre les signaux présents sur les deuxième et troisième entrées au moyen du 20 comparateur 2c. Le comparateur est encore configuré pour mesurer la synchronisation entre les signaux présents sur les première et troisième entrées au moyen du comparateur 2b. Dans ce cas de figure particulier, tous les signaux sont comparés deux à deux afin de détecter la présence ou l'absence d'une synchronisation entre les différents signaux. Ce mode de régulation est 25 particulièrement robuste car il permet de détecter rapidement un défaut de synchronisation dans l'un des signaux. Chacun des comparateurs élémentaires renvoie une information spécifique qui forme une partie de la première information D. 30 De manière avantageuse, le comparateur 2 est configuré pour mesurer un écart temporel entre les signaux présents sur ses première et deuxième entrées. Il 3051929 15 est également intéressant de prévoir que le comparateur 2 est configuré pour mesurer un écart temporel entre les signaux présents sur ses deuxième et troisième entrées ainsi que sur ses première et troisième entrées. La première information D est émise au moyen des différentes valeurs des écarts temporels, 5 ici trois écarts temporels. Dans un mode de réalisation avantageux, les écarts temporels sont comparés et le comparateur 2 ne retient que la valeur la plus importante en valeur absolue. Dans un autre mode de réalisation, les trois informations (Da, Db et Dc) sont envoyées au circuit de commande 3. 10 Dans un autre mode de réalisation (non représenté), tous les signaux ne sont pas comparés deux à deux. Un des trois signaux est considéré comme un signal de référence et les deux autres signaux sont comparés à ce signal de référence. Il est alors possible de vérifier que les trois signaux sont synchronisés en comparant les différents écarts temporels mesurés. De 15 manière avantageuse, le signal de référence est défini par le générateur interne, par exemple le générateur de signal G. Ce mode de réalisation est plus compacte et moins consommateur d'énergie car un comparateur élémentaire a disparu, par exemple le comparateur élémentaire 2a. 20 Comme dans le mode de réalisation précédent, le circuit de commande 3 est configuré pour autoriser la synchronisation du générateur de signal G au moyen du signal présent sur la première entrée ou au moyen du signal présent sur la deuxième entrée, si ces signaux sont considérés comme synchronisés. Lorsque les signaux sont désynchronisés, le circuit de commande 3 empêche la 25 synchronisation du générateur G au moyen des signaux Cl et C2. Ce mode de réalisation est plus avantageux que les précédents car il utilise trois sources de synchronisation dont une source de synchronisation interne, ici le générateur G. Il est donc possible de discriminer rapidement une défaillance 30 dans une source externe et également de synchroniser la source interne sur 3051929 16 une période de temps importante tant que les sources externes sont synchronisées. Dans un autre mode de réalisation particulier illustré à la figure 5, le 5 comparateur 3 comporte des première, deuxième et troisième entrées qui sont respectivement connectées à des première, deuxième et troisième sources S1, S2 et S3 qui génèrent des premier, deuxième et troisième signaux d'horloge C1, C2 et C3. 10 Le comparateur 2 est configuré de manière à fournir une première information D relative à l'état de synchronisation des différents signaux C1, C2 et C3 appliqués en entrée. Comme indiqué précédemment, le comparateur 2 peut être configuré pour tester deux à deux tous les signaux appliqués en entrée. En variante, le comparateur peut être configuré pour tester seulement deux 15 couples différents de signaux. Le générateur de signal G est distinct des première, deuxième et troisième sources générant les trois signaux d'horloge différents Cl, C2, C3. 20 Dans un mode de réalisation particulier et avantageux, l'une des sources de signal d'horloge est une source interne au circuit d'arbitrage temporel 1. Cette source interne peut être choisie parmi les exemples de sources décrits précédemment pour le générateur du signal G. De manière avantageuse, la troisième source n'est pas asservie par les première et/ou deuxième sources 25 Si et S2. Les deux autres sources sont avantageusement des sources externes qui sont choisies parmi les exemples de sources décrits plus haut. Avantageusement, l'une des sources reçoit un signal satellitaire et l'autre des sources reçoit un 30 signal filaire par exemple un signal de synchronisation réseau NTP ou PTP. Il 3051929 17 est avantageux de choisir une source en provenance d'un dispositif délivrant une heure légale. Il peut être particulièrement avantageux de prévoir que le circuit de commande 5 3 autorise la synchronisation du générateur de signal G avec le signal présent sur la première entrée, sur la deuxième entrée ou sur la troisième entrée du comparateur 2 lorsque le comparateur 2 détecte que les trois signaux sont synchronisés. 10 Lorsque le circuit de commande 3 détecte une absence de synchronisation entre les différentes sources de synchronisation S1, S2 et S3, il décide d'empêcher la synchronisation du générateur G avec ces trois sources. Dans ce cas de figure, le générateur de signal d'horloge n'est plus asservi, il est dit en mode « hold over ». 15 Dans un mode de réalisation particulier illustré à la figure 6, le circuit d'arbitrage temporel 1 comporte un premier circuit de traitement 41 qui est connecté entre la première entrée 11 du circuit d'arbitrage temporel 1 et la première entrée du comparateur 2. 20 De manière avantageuse, le circuit d'arbitrage temporel 1 comporte également un deuxième circuit de traitement 42 qui est connecté entre la deuxième entrée 12 du circuit d'arbitrage temporel 1 et la deuxième entrée du comparateur 2. 25 Pour comparer des signaux d'horloge, le circuit d'arbitrage temporel 1 est avantageusement configuré pour utiliser un signal top seconde. La comparaison se fait en comparant plusieurs tops de plusieurs sources horaires. Il est possible d'en déduire des valeurs moyennes d'écart. Cependant, cette comparaison ne peut se faire efficacement et de manière instantanée qu'au 30 moyen de signaux de bonne qualité. 3051929 18 Le circuit de traitement 41, 42 comporte un oscillateur 5 qui est asservi au signal présent sur son entrée associée. Le signal présent sur l'entrée du comparateur 2 est donc émis à partir de l'oscillateur 5 du circuit traitement 41, 42. 5 Les signaux émis à partir des sources externes sont souvent bruités. Il est donc particulièrement avantageux d'utiliser un oscillateur 5 asservi sur le signal d'entrée afin de fournir une image du signal d'entrée qui est plus stable. Cette image pourra alors être comparée dans le comparateur 2 à un autre signal. 10 Dans un mode de réalisation particulier avec au moins deux sources en plus du générateur G, lorsque le circuit commande 3 détecte par exemple que les premiers et deuxièmes signaux Cl et C2 ne sont plus synchronisés, le générateur de signal d'horloge G n'est plus asservi. Le générateur de signal d'horloge G va donc dériver d'une manière connue définie par son niveau de 15 performance. Il est alors avantageux d'utiliser le signal délivré par le générateur de signal G et de le comparer au premier signal Cl présent sur la première entrée du comparateur 2 et au deuxième signal C2 présent sur la deuxième entrée 12 du comparateur 2 afin de déterminer rapidement lequel de ces deux signaux est pollué. 20 En comparant le signal émis par le générateur G avec les différents signaux présents sur les entrées 11, 12 du circuit d'arbitrage, le circuit de commande 3 est capable de déterminer facilement quel signal est pollué. Le signal pollué n'est plus pris en compte et l'autre signal peut être comparé au signal d'horloge 25 en provenance du générateur de signal. Le mode de fonctionnement est alors identique à celui décrit dans la figure 1 et présenté plus haut. Le circuit de commande 3 peut être configuré pour rechercher la source de synchronisation défaillante et pour l'exclure par exemple en comparant son signal avec le signal du générateur interne. 30 305 192 9 19 Si le circuit d'arbitrage temporel 1 est connecté à deux sources externes de synchronisation, il est avantageux de ne pas synchroniser le générateur de signal G avec la source externe de synchronisation qui est conservée. En effet, une dérive lente et continue de la source externe de synchronisation ne sera 5 pas détectée par le circuit d'arbitrage 1 et pourra entraîner une dérive lente et continue du signal d'horloge de sortie. En revanche, dans le cas où le circuit d'arbitrage temporel 1 est connecté initialement à trois sources de synchronisation différentes du générateur, 10 l'élimination d'une des sources de synchronisation n'empêche pas la synchronisation du générateur de signal G avec l'une ou l'autre des sources restantes car les deux sources restantes peuvent être testées pour savoir si elles sont synchronisées ou non. 15 Par exemple, dans un circuit d'arbitrage temporel 1 configuré pour délivrer un signal d'horloge de sortie Co ayant une précision de l'ordre de 100 ns, le circuit de commande 3 peut être configuré pour rejeter une entrée si sa dérive du décalage temporel est de l'ordre de 50 ns sur une période de temps de 400 secondes. Une telle règle de réjection correspond à 50 % de la limite 20 d'exactitude du circuit d'arbitrage temporel 1. Une fois que le circuit de commande détecte que les signaux de synchronisation sont désynchronisés, le circuit de commande analyse l'écart entre le signal délivré par le générateur G et les différents signaux présents sur les entrées. Le signal dont la dérive du décalage temporel est supérieure à 50% après 400 secondes d'observation est 25 rejeté. Le circuit peut détecter si les entrées ne sont pas synchronisées et il peut également déterminer l'entrée qui est défaillante. De manière avantageuse, le circuit de commande 3 est configuré pour que le temps d'observation des différents signaux par rapport au signal délivré par le 30 générateur G soit suffisant pour maintenir 50 % de la limite d'exactitude du circuit d'arbitrage 1. De cette manière, en ayant toléré une excursion égale à 50 3051929 20 % de la limite d'exactitude du circuit d'arbitrage 1, il est possible de détecter et de rejeter une entrée de synchronisation polluée sans affecter la performance du signal de sortie attendue par l'utilisateur. 5 De manière avantageuse, chaque entrée du circuit d'arbitrage temporel est considérée indépendamment. De manière avantageuse, les mesures de synchronisation entre les différents signaux sont réalisées sans modifier le générateur G et/ou la source de 10 synchronisation interne ce qui évite d'altérer l'horloge interne du circuit 1 au fur et à mesure des différentes mesures. De manière avantageuse, les différentes valeurs de la première information D et éventuellement les différentes valeurs des écarts temporels entre les sources 15 sont enregistrées dans une zone mémoire (non représenté). Il est également possible d'enregistrer les différentes actions réalisées sur le générateur G ainsi que sur les autres constituants du circuit d'arbitrage temporel 1. Les données enregistrées dans la zone mémoire peuvent être traitées par le circuit de commande afin de déclencher des actions complémentaires. 20 Dans un mode de réalisation particulièrement avantageux, le comparateur est configuré pour faire une mesure continue de la synchronisation entre les différents signaux appliqués en entrée du comparateur, par exemple mesurer en continu l'écart temporel entre les différents signaux. L'analyse en continu 25 des différents signaux garantit à l'utilisateur qu'il utilise le signal d'horloge de sortie avec la précision demandée. Lorsque le circuit de commande 3 autorise la synchronisation du générateur G avec les signaux en provenances des sources de synchronisation, il est 30 avantageux de réaliser la synchronisation en continu afin d'éviter des sauts dans le temps. 3051929 21 En variante, lorsque le circuit de commande 3 autorise la synchronisation du générateur G avec les signaux en provenance des sources de synchronisation, il est avantageux de réaliser la synchronisation de manière périodique afin de 5 détecter des variations dans la dérive entre le générateur G et les sources de synchronisation Si, S2, S3. Dans une autre variante, lorsque le circuit de commande 3 autorise la synchronisation du générateur G avec les signaux en provenance des sources 10 de synchronisation, il est avantageux de réaliser la synchronisation de manière aléatoire afin de se prémunir d'un acte de malveillance qui ferait évoluer lentement l'une des sources de synchronisation. De manière avantageuse, le circuit de commande 3 est configuré pour émettre 15 une information représentative de son mode de fonctionnement et/ou des erreurs ou défaillances détectées. Le circuit de commande 3 peut être configuré pour autoriser l'émission d'un ou plusieurs des signaux suivant : - les différentes sources ne sont pas synchronisées, - une des sources de synchronisation n'émet plus de signal ou cette source 20 émet un signal qui n'est pas synchronisé avec les autres sources, - le circuit d'arbitrage recherche le signal non synchronisé, - le générateur n'est plus asservi à l'une des sources extérieures, c'est-à-dire à l'un des signaux présents sur ses entrées, - le circuit d'arbitrage a exclu une source de synchronisation. 25 REVENDICATIONS1. Circuit d'arbitrage temporel comportant : - un comparateur comportant au moins des première et deuxième entrées et configuré pour fournir au moins une première information relative à l'état de synchronisation des signaux présents sur les première et deuxième entrées, - un générateur de signal d'horloge connecté à une borne de sortie du circuit d'arbitrage et délivrant un signal d'horloge de sortie, - un circuit de commande configuré pour autoriser ou bloquer la délivrance du signal d'horloge de sortie sur la borne de sortie en fonction de la première information du comparateur et/ou pour délivrer une information relative à l'état de synchronisation en fonction de la première information, - la première entrée du comparateur est connectée à une première borne d'entrée du circuit d'arbitrage destinée à être connectée à une première source délivrant un premier signal d'horloge, - la deuxième entrée du comparateur est destinée à être connectée à une deuxième source délivrant un deuxième signal d'horloge. 2. Circuit d'arbitrage temporel selon la revendication 1, dans lequel le générateur de signal d'horloge est connecté à la deuxième entrée du comparateur. 3. Circuit d'arbitrage temporel selon la revendication 1, dans lequel la deuxième entrée du comparateur est connectée à une deuxième borne d'entrée du circuit d'arbitrage destinée à être connectée à une deuxième source délivrant un deuxième signal d'horloge différente du générateur de signal d'horloge. 3051929 23 4. Circuit d'arbitrage temporel selon la revendication 3, dans lequel une troisième entrée du comparateur est connectée au générateur de signal d'horloge et dans lequel le circuit de commande est configuré pour : - synchroniser le générateur de signal d'horloge avec l'un des signaux 5 appliqués sur les première et deuxième entrées du comparateur lorsque le comparateur fournit au moins une première information indiquant la synchronisation des signaux présents sur les première et deuxième entrées, - empêcher la synchronisation du générateur de signal d'horloge avec l'un 10 des signaux appliqués sur les première et deuxième entrées du comparateur lorsque le comparateur fournit au moins une première information indiquant la non-synchronisation des signaux présents sur les première et deuxième entrées. 15 5. Circuit d'arbitrage temporel selon la revendication 3, dans lequel une troisième entrée du comparateur est connectée à une troisième source délivrant un troisième signal d'horloge, et dans lequel le circuit de commande est configuré pour : - synchroniser le générateur de signal d'horloge avec l'un des signaux 20 appliqués sur les première, deuxième et troisième entrées du comparateur lorsque le comparateur fournit au moins une première information indiquant la synchronisation des signaux présents sur les première, deuxième et troisième entrées, - empêcher la synchronisation du générateur de signal d'horloge avec l'un 25 des signaux appliqués sur les première, deuxième et troisième entrées du comparateur lorsque le comparateur fournit au moins une première information indiquant la non-synchronisation des signaux présents sur les première, deuxième et troisième entrées. 3051929 24 6. Circuit d'arbitrage temporel selon l'une des revendications 4 et 5, dans lequel la troisième source est choisie parmi les oscillateurs à quartz et les micro-oscillateurs atomiques 5 7. Circuit d'arbitrage temporel selon l'une des revendications 4 à 6, dans lequel le générateur de signal d'horloge de sortie est synchronisé continûment avec le premier signal d'horloge ou le deuxième signal d'horloge lorsque l'écart temporel n'atteint pas la valeur seuil. 10 8. Circuit d'arbitrage temporel selon l'une des revendications 4 à 6, dans lequel le générateur de signal d'horloge de sortie est synchronisé à intervalle régulier avec le premier signal d'horloge ou le deuxième signal d'horloge lorsque l'écart temporel n'atteint pas la valeur seuil. 15 9. Circuit d'arbitrage temporel selon l'une des revendications 4 à 6, dans lequel le générateur de signal d'horloge de sortie est synchronisé à intervalle aléatoire avec le premier signal d'horloge ou le deuxième signal d'horloge lorsque l'écart temporel n'atteint pas la valeur seuil. 20 10. Circuit d'arbitrage temporel selon l'une quelconque des revendications précédentes, dans lequel, la première information est obtenue au moyen de l'écart temporel entre les signaux présents sur les première et deuxième entrées. 25 11. Circuit d'arbitrage temporel selon la revendication 10, dans lequel le comparateur est configuré pour faire une mesure continue dudit écart temporel. 12. Circuit d'arbitrage temporel selon les revendications 4 et 10 ou 5 et 10, 30 dans lequel la première information est obtenue au moyen de l'écart temporel entre les signaux présents sur les première et troisième entrées 3051929 25 et/ou l'écart temporel entre les signaux présents sur les deuxième et troisième entrées 13. Circuit d'arbitrage temporel selon l'une quelconque des revendications 5 précédentes, dans lequel le circuit de commande est configuré pour arrêter la délivrance du signal d'horloge de sortie si l'écart temporel atteint la valeur seuil après une durée prédéfinie initiée lorsque le circuit de commande détecte que l'écart temporel a atteint la valeur seuil. 10 14. Circuit d'arbitrage temporel selon l'une quelconque des revendications précédentes, dans lequel la première entrée de signal d'horloge est connectée à un premier circuit de traitement comportant un oscillateur de traitement, le circuit de traitement étant configuré pour asservir l'oscillateur de traitement au signal reçu en entrée de sorte que le premier circuit de 15 traitement délivre un signal d'horloge représentatif du signal appliqué en entrée pour le comparateur. 15. Circuit d'arbitrage temporel selon l'une quelconque des revendications précédentes, dans lequel le générateur de signal d'horloge est un oscillateur 20 à quartz ou oscillateur atomique à base de rubidium ou de césium. 16. Circuit d'arbitrage temporel selon l'une quelconque des revendications précédentes, dans lequel le comparateur est formé par une pluralité de comparateurs élémentaires, les comparateurs étant agencés pour comparer 25 toutes les entrées du comparateur deux à deux. 17. Dispositif de fourniture d'un signal d'horloge comportant un dispositif d'arbitrage selon l'une quelconque des revendications 1 à 16 et dans lequel la première source est formée par un ou plusieurs satellites, par une 30 connexion filaire ou par un signal émis par ondes hertziennes.