Brevet FR3050555A1 — publié le 20171027

Procédé de traitement d'un fichier de mise à jour d'un équipement avionique d'un aéronef, produit programme d'ordinateur, dispositif électronique de traitement et système de traitement associés La présente invention concerne un procédé de traitement d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, le procédé de traitement étant mis en oeuvre au sein d'un système de traitement comprenant un terminal mobile indépendant de l'aéronef, une unité de mise à jour intégrée à l'aéronef, et une base de données distante de l'aéronef et du terminal mobile. L'invention concerne également un produit programme d'ordinateur comportant des instructions logicielles qui, lorsque mis en oeuvre par une unité de traitement d'informations intégrée au sein d'un système de traitement du type précité, met en oeuvre un tel procédé de traitement. L'invention concerne également un dispositif électronique de traitement d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, le dispositif électronique de traitement étant configuré pour être intégré dans un système de traitement d'un fichier de mise à jour, le système de traitement comprenant un terminal mobile indépendant de l'aéronef, une unité de mise à jour intégrée à l'aéronef, et une base de données distante de l'aéronef et du terminal mobile. L'invention concerne également un système de traitement d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, le système de traitement comprenant au moins : un terminal mobile indépendant de l'aéronef, une unité de mise à jour intégrée à l'aéronef, une base de données distante de l'aéronef et du terminal mobile. L'invention s'applique au domaine de l'avionique, et plus particulièrement à celui des systèmes de mise à jour de composant logiciels et de bases de données d'équipement avionique d'un aéronef, tel qu'un avion ou un hélicoptère, ou encore un drone. De façon classique, une telle mise à jour est opérée, soit par transfert de fichiers (i.e. ensemble de données) mémorisés sur des périphériques de stockage mobiles tels que des disques durs, des clés USB (de l'anglais Universel Serial Bus), des ordinateurs portables, soit par transmission de données via des liaisons de communication, telle que des liaisons de communication radio. 3050555 2 L'intégrité d'une telle opération de mise à jour des données embarquées sur un équipement avionique est critique au regard de la sécurité du vol et du bon déroulement des opérations de navigation. Pour assurer une telle intégrité, des solutions basées sur l'application d'une fonction de hachage cryptographique, aux fichiers de mise à jour dont 5 le résultat est appelé condensat, ou valeur de hachage, ou encore empreinte numérique sont mises en oeuvre. Un exemple de ce type de solution est notamment décrit dans le document US 2013/036103 A1. Selon ce document, une comparaison entre un condensat calculé et un condensat 10 de référence préalablement stocké au sein d'un module d'intégrité de l'aéronef est mise en oeuvre pour valider la mise à jour. Toutefois, cette solution mise en oeuvre au sein de l'aéronef s'avère inefficace lorsqu'un tiers malveillant parvient à s'introduire dans le système de mise à jour de l'aéronef. Par ailleurs, cette solution requiert une mise à jour préalable et récurrente des 15 condensats de référence stockés au sein du module d'intégrité de l'aéronef, ces condensats de référence étant eux-mêmes des fichiers de données dont il faut protéger l'intégrité au sein de l'aéronef. Pour y remédier, des solutions basées sur une signature électronique combinant la technique de condensat précitée et un chiffrage par échange de clés asymétriques ont été 20 proposées. Néanmoins, ces solutions sont complexes à mettre en oeuvre d'un point de vue logistique du fait que le chiffrage suppose une distribution d'une part de clés publiques à l'aéronef et d'autre part de clés privées aux équipementiers délivrant les mises à jour à installer, ainsi qu'une gestion au cours du temps de la validité de ces clés et des 25 certificats associés (par exemple en cas de révocation). Un but de l'invention est donc de proposer un procédé de traitement d'un fichier de mise à jour, permettant d'améliorer la sécurité lors de la mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, tout en facilitant la réalisation de la mise à jour. 30 A cet effet, l'invention a pour objet un procédé de traitement d'un fichier de mise à jour du type précité, le procédé de traitement comprenant les étapes suivantes : l'obtention d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour, d'une fonction de hachage cryptographique au fichier de mise à jour, 3050555 3 l'obtention d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant acquis par le terminal mobile par accès sécurisé à une base de données comprenant le condensat de référence, le traitement du fichier de mise à jour en fonction d'une comparaison du 5 condensat calculé avec le condensat de référence. Par « fichier de mise à jour », on entend un logiciel ou un jeu de données. Par « ensemble de données informatiques d'un équipement avionique », on entend une partie logicielle ou une base de données de l'équipement avionique sur lequel le fichier de mise à jour est appliqué. 10 Par « obtention », on entend l'obtention « directe » ou « indirecte » d'un objet. Par exemple, selon une première architecture de système de traitement, l'obtention du condensat calculé est, « directe » lors de la détermination effectuée par l'unité de mise à jour, et, selon une deuxième architecture, « indirecte », lorsque le terminal mobile obtient le condensat calculé préalablement déterminé par l'unité de mise à jour. 15 Suivant d'autres aspects avantageux de l'invention, le procédé de traitement comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : la comparaison du condensat calculé avec le condensat de référence comprend une obtention d'un indicateur de comparaison comprenant : 20 l'acquisition de l'indicateur de comparaison saisi par un opérateur, ou la mise en oeuvre automatique de la comparaison du condensat calculé avec le condensat de référence, le procédé comprend en outre la mémorisation de l'indicateur de comparaison, lorsque le procédé est mis en oeuvre par le terminal mobile, l'obtention du 25 condensat calculé comprend : la réception du condensat calculé émis par l'unité de mise à jour, ou la réception du condensat calculé saisi par un opérateur, ou une acquisition, basée sur une reconnaissance optique du condensat calculé, sur un écran de restitution de l'aéronef, 30 - lorsque le procédé est mis en oeuvre par l'unité de mise à jour, l'obtention du condensat de référence comprend : la réception du condensat de référence émis par le terminal mobile, ou la réception du condensat de référence saisi par un opérateur, ou une acquisition, basée sur une reconnaissance optique du condensat de référence, sur un écran de restitution du terminal mobile, 3050555 4 le traitement du fichier de mise à jour en fonction d'une comparaison du condensat calculé avec le condensat de référence comprend: la validation du fichier de mise à jour lorsque le condensat calculé est identique au condensat de référence, ou 5 la suppression du fichier de mise à jour lorsque le condensat calculé est différent du condensat de référence. Le « traitement du fichier de mise à jour » comprend donc au sens large les opérations de traitement qui permettent la validation (par exemple, par génération d'une validation associée au fichier de mise à jour, ou par acquisition d'une validation associée 10 au fichier de mise à jour saisie par un opérateur) ou la suppression du fichier de mise à jour. L'invention a également pour objet un produit programme d'ordinateur comportant des instructions logicielles qui, lorsque mis en oeuvre par une unité de traitement d'informations intégrée au sein d'un système de traitement du type précité, met en oeuvre 15 un procédé de traitement tel que défini ci-dessus. L'invention a également pour objet un dispositif électronique de traitement du type précité, dans lequel le dispositif électronique de traitement comprend : un module d'obtention d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour, d'une 20 fonction de hachage cryptographique au fichier de mise à jour, un module d'obtention d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant acquis par le terminal mobile par accès sécurisé à une base de données comprenant le condensat de référence, un module de traitement du fichier de mise à jour en fonction d'une comparaison 25 du condensat calculé avec le condensat de référence. L'invention a également pour objet un système de traitement d'un fichier de mise à jour du type précité dans lequel : le terminal mobile comprend au moins un module d'obtention d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant 30 acquis par le terminal mobile par accès sécurisé à une base de données comprenant le condensat de référence, l'unité de mise à jour comprend au moins un module d'obtention d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour, d'une fonction de hachage cryptographique 35 au fichier de mise à jour, et 3050555 5 le terminal mobile, ou l'unité de mise à jour, comprend un module de traitement du fichier de mise à jour en fonction d'une comparaison du condensat calculé avec le condensat de référence. Suivant un autre aspect avantageux de l'invention, le système de traitement est tel 5 que l'unité de mise à jour est une unité électronique intégrée dans l'équipement avionique, ou une unité électronique distincte du ou des équipements avioniques de l'aéronef. Ces caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en 10 référence aux dessins annexés, sur lesquels : - la figure 1 est une vue schématique d'un exemple d'architecture de système de traitement d'un fichier de mise à jour selon l'invention comprenant un terminal mobile, une unité de mise à jour connectée à un équipement avionique d'un aéronef, et une base de données distante de l'aéronef et du terminal mobile, 15 - la figure 2 est un organigramme d'un procédé de traitement d'un fichier de mise à jour selon l'invention, - les figures 3 à 5 illustrent trois modes de réalisation de l'étape d'obtention d'un condensat calculé du procédé de traitement illustré par la figure 2, et - les figures 6 et 7 illustrent deux modes de réalisation de l'étape d'obtention d'un 20 condensat de référence du procédé de traitement illustré par la figure 2, - les figures 8 et 9 illustrent deux modes de réalisation de l'étape d'obtention d'un indicateur de comparaison du procédé de traitement illustré par la figure 2, - la figure 10 est un organigramme des étapes mises en oeuvre réciproquement par l'unité de mise à jour lorsque le procédé selon l'invention est mis en oeuvre 25 par un dispositif électronique de traitement intégré au terminal mobile, selon une première architecture du système de traitement tel qu'illustré sur la figure 1. Sur la figure 1, un système de traitement d'un fichier de mise à jour selon l'invention comprend au moins un terminal mobile 10 apte à être porté par un opérateur de maintenance 14, ce dernier étant chargé d'installer une mise à jour d'un ensemble de 30 données informatiques d'un équipement avionique d'un aéronef (non représenté). Le terminal mobile 10 est donc apte à être déplacé, et localisé à l'extérieur ou à l'intérieur de l'aéronef. Le système de traitement d'un fichier de mise à jour comprend également au moins une unité 11 de mise à jour de l'ensemble de données informatiques d'un 35 équipement avionique de l'aéronef. 3050555 6 Une telle unité de mise à jour 11 est intégrable dans l'aéronef et utilisable, pour la maintenance d'une pluralité d'équipements avioniques distincts, ou dédiée à un équipement avionique particulier. En d'autres termes, selon une première variante l'unité de mise à jour 11 est 5 dédiée à un équipement avionique particulier et fait physiquement partie de cet équipement avionique (i.e. l'unité de mise à jour est un sous-ensemble d'un équipement avionique). Selon une deuxième variante, l'unité de mise à jour 11 est un équipement avionique en tant que tel de l'aéronef (i.e. physiquement autonome au regard des autres 10 équipements avioniques) et est utilisée pour mettre à jour un ou plusieurs autres équipements avioniques distincts. Par ailleurs, le système de traitement d'un fichier de mise à jour comprend une base de données 12 distante de l'aéronef, et également distante du terminal mobile 10. Une telle base de données 12 correspond par exemple à un système informatique 15 au sol, hébergé chez un équipementier avionique certifié du fabricant de l'aéronef, chez le fabricant de l'aéronef ou chez la compagnie opératrice de l'aéronef, et intègre un module d'authentification forte par signatures/certificats (depuis par exemple le producteur d'origine). En complément, le système de mise à jour comprend également un écran de 20 restitution 13 localisé sur l'aéronef, par exemple un des écrans du cockpit. Selon une première variante, le système de traitement d'un fichier de mise à jour comprend un outil 17 de chargement du ou des fichier(s) de mise à jour, indépendant de l'unité de mise à jour 11, et dont il est complexe de garantir l'intégrité de manière pérenne. Selon un premier exemple, un tel outil de chargement 17 est un média : i.e. un 25 support de stockage amovible tel qu'une clé USB, une carte mémoire, un disque de données (CD/DVD). Dans ce cas, l'unité de mise à jour 11 comprend, ou est connectée, via une liaison sans fil ou filaire à, un lecteur de média (non représenté) compatible avec le média 17 utilisé. Selon un deuxième exemple, l'outil de chargement 17 est un ordinateur portable 30 comprenant, une mémoire (i.e. disque dur) dans laquelle le fichier de mise à jour est stocké, et un lecteur de média. Dans ce cas l'ordinateur portable est également connecté à l'unité de mise à jour (11) via une liaison filaire ou une liaison sans fil. Selon une autre variante, le ou les fichier(s) de mise à jour est (sont) transmis par la base de données 12 à l'unité de mise à jour 11 au moyen d'une liaison de données 15 35 du réseau public (non représenté), telle qu'une liaison radioélectrique de données, ou 3050555 7 encore une liaison filaire, par exemple, en cas de passage en atelier de maintenance de l'aéronef. Le terminal mobile 10 et la base de données 12 communiquent via un réseau de communication sécurisé, par exemple au moyen d'une liaison VPN 16 (de l'anglais Virtual 5 Private Network). Le terminal mobile 10, indépendant de l'aéronef, comprend une première unité d'information 1000 formée par exemple d'un premier processeur 100, et d'une première mémoire 102 associée au premier processeur 100. Le terminal mobile 10 est, par exemple, un ordiphone (de l'anglais smartphone) 10 géré par un système d'exploitation, tel que le système d'exploitation Android de la société Google®, ou selon un autre exemple, une tablette tactile, et comprend en outre une antenne radioélectrique et un émetteur-récepteur radioélectrique (non représentés), l'émetteur-récepteur est connecté à l'unité de traitement d'informations 1000. Par ailleurs, un tel terminal mobile 10 comprend un clavier, un écran, et, par exemple, un appareil 15 photo numérique. Selon un aspect optionnel, le terminal mobile 10 est également configuré pour échanger, avec l'unité de mise à jour 11, à l'aide d'une liaison de données 18, telle qu'une liaison radioélectrique de données ou encore une liaison filaire. Selon un aspect particulier, le terminal mobile 10 est configuré pour mettre en 20 oeuvre une solution de sécurisation Teopad® de la société Thales®. Le terminal mobile 10 est porté par l'opérateur 14 de maintenance et est de ce fait indépendant de la base de donnée 12 comme de l'aéronef comprenant l'équipement avionique auquel est connectée l'unité de mise à jour 11. Ainsi, un même terminal mobile 10 est par exemple utilisable par l'opérateur 14 pour mettre à jour un même ensemble de 25 données informatiques d'un même équipement avionique de plusieurs aéronefs. Plusieurs architectures de systèmes de traitement d'un fichier de mise à jour selon l'invention sont implémentables. Une première architecture correspond au système de traitement d'un fichier de mise à jour tel que représenté sur la figure 1. Selon ce premier exemple d'architecture, le 30 terminal mobile 10 comprend un dispositif électronique 1001 de traitement de mise à jour. Un tel dispositif électronique de traitement d'un fichier de mise à jour 1001 comprend, premièrement, un premier module 104 d'obtention, via la liaison de données 18, d'un condensat calculé associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour 11 d'une fonction de hachage 35 cryptographique, au fichier de mise à jour. 3050555 8 Selon une première variante de réalisation, ce premier module d'obtention 104 comprend un émetteur-récepteur radioélectrique (non représenté) qui reçoit directement via la liaison de données 18 le condensat calculé émis, par l'unité de mise à jour 11. Selon cette première variante, il est donc possible que l'opérateur 14 de 5 maintenance porteur du terminal mobile 10 soit à distance de l'aéronef, sous réserve que l'émetteur-récepteur radioélectrique du terminal mobile reste dans la zone de portée d'émission de l'unité de mise à jour 11. En outre, la liaison de donnée 18 utilisée par l'émetteur-récepteur radioélectrique est conçue pour éviter l'introduction d'un leurre par un tiers malveillant lors de la 10 communication entre l'unité de mise à jour 11 et le terminal mobile 10. Selon une deuxième variante de réalisation, ce premier module d'obtention 104 comprend un module de réception du condensat calculé saisi par l'opérateur 14. Un tel module de réception (non représenté) correspond par exemple au clavier du terminal mobile 10. 15 Selon une troisième variante de réalisation, ce premier module d'obtention 104 comprend un module d'acquisition (non représenté) configuré pour lire le condensat calculé, ou une image représentative du condensat calculé, sur l'écran de restitution 13 de l'aéronef. Un tel module d'acquisition (non représenté) correspond dans ce cas à un appareil photo numérique du terminal mobile 10, ou comprend avantageusement un 20 module de reconnaissance optique d'objet (non représenté) tel qu'une image (par exemple un lecteur de code QR (de l'anglais Quick Response) ou tel qu'une chaîne de caractères. Le dispositif électronique de traitement d'un fichier de mise à jour 1001 comprend également un deuxième module 103 d'obtention, via l'accès sécurisé utilisant la liaison 25 sécurisée 16, d'un condensat de référence associé au fichier de mise à jour, certifié et stocké dans la base de données 12 distante de l'aéronef et du terminal mobile 10. Selon un aspect particulier, l'activation de ce deuxième module d'obtention 103 est synchronisée avec le premier module d'obtention 104 au moyen d'un module de synchronisation (non représenté), de sorte qu'une fois que le condensat calculé est reçu, 30 le deuxième module d'obtention 103 est activé pour accéder en temps réel à la base de données 12. Selon un autre aspect, l'activation de ce deuxième module d'obtention 103 est préalable à l'obtention du condensat calculé. Dans ce cas, le deuxième module d'obtention 103 est connecté à la première mémoire 102 du terminal de sorte à être 3050555 9 configuré pour y stocker le condensat de référence obtenu préalablement au condensat calculé. Le dispositif électronique de traitement d'un fichier de mise à jour 1001 comprend également optionnellement un module d'obtention d'un indicateur de comparaison 105 du 5 condensat calculé avec le condensat de référence. Ce module d'obtention d'un indicateur de comparaison 105 est connecté aux premier et deuxième modules d'obtention du condensat de référence, et du condensat calculé respectivement, tels que décrits ci- dessus. Selon une première variante, ce module d'obtention d'un indicateur de 10 comparaison 105 comprend une interface homme-machine 1050 permettant une interaction avec l'opérateur 14. Une telle interface homme-machine 1050 comprend, par exemple, un écran de restitution, un haut-parleur, et un module de saisie (non représenté) tel qu'un clavier (tactile ou non) ou un logiciel de reconnaissance vocale. 15 Cette interface homme-machine 1050 est configurée pour permettre à l'opérateur 14 de prendre à sa charge la comparaison du condensat calculé avec le condensat de référence et d'obtenir mentalement le résultat de la comparaison, puis de saisir ce résultat de comparaison. Selon une deuxième variante, ce module d'obtention d'un indicateur de 20 comparaison 105 est configuré pour mettre en oeuvre automatiquement (i.e. sans intervention d'un opérateur) la comparaison du condensat de référence et du condensat calculé. Par ailleurs, le dispositif électronique de traitement d'un fichier de mise à jour 1001 du terminal mobile 10 comprend, selon l'exemple de première architecture de système de 25 traitement d'un fichier de mise à jour tel que représenté sur la figure 1, un module de traitement du fichier de mise à jour comprenant un module 106 de génération d'une validation du fichier de mise à jour, notamment lorsque le module d'obtention d'un indicateur de comparaison 105 est configuré pour mettre en oeuvre automatiquement (i.e. sans intervention d'un opérateur) la comparaison. Un tel module de génération 106 d'une 30 validation du fichier de mise à jour est connecté au module d'obtention d'un indicateur de comparaison 105 décrit ci-dessus. Ce module de génération 106 est configuré pour délivrer automatiquement (i.e. sans intervention d'un opérateur) une validation V lorsque le module d'obtention d'un indicateur de comparaison 105 délivre automatiquement un résultat positif représentatif 35 d'une identité entre le condensat de référence et le condensat calculé. Par exemple, si les 3050555 10 condensats sont des images, un résultat positif correspond à une image de référence et une image associé au fichier de mise à jour identiques. Si les condensats sont de type SHA-1, i.e. des mots de 160 bits, le condensat de référence est égal, i.e. identique au condensat calculé, et les bits du condensat de référence et du condensat calculé sont 5 identiques deux à deux. Selon l'exemple de première architecture de système de traitement illustré par la figure 1, le module de traitement du fichier de mise à jour du dispositif électronique de traitement 1001 intégré au terminal mobile 10 comprend également un module de transmission 107 de la validation V à l'unité de mise à jour 11. 10 Selon l'exemple d'architecture de système de traitement illustré par la figure 1, l'unité de mise à jour 11 comprend également une deuxième unité d'information 1100 formée par exemple d'un deuxième processeur 110, et d'une deuxième mémoire 112 associée au deuxième processeur 110. Par ailleurs, l'unité de mise à jour 11 comprend un module 113 de chargement 15 dans une zone temporaire de la mémoire 112 de l'unité de mise à jour 11 avec le fichier de mise à jour. Ce module de chargement 113 est par exemple un port USB, un port Bluetooth®, (i.e. un port conforme à la norme IEEE 802.15) ou encore un port NFC (de l'anglais Near Field Communication), configuré pour communiquer selon une première variante avec 20 l'outil de chargement 17. Selon une deuxième variante, le module de chargement 113 correspond à un récepteur radioélectrique, un port Ethernet ou encore un récepteur Wi-Fi (conforme à la norme IEEE 802.11) configuré pour recevoir le fichier de mise à jour, émis directement depuis la base de données 12 via une liaison de données 15 du réseau de communication public. 25 L'unité de mise à jour 11 comprend également un module 114 de détermination d'un condensat calculé. Ce module de détermination 114 est configuré pour appliquer au fichier de mise à jour une fonction de hachage cryptographique dont le résultat est appelé condensat, ou valeur de hachage, ou encore empreinte numérique. En d'autres termes, un condensat correspond à une « empreinte » représentative 30 du fichier de mise à jour permettant de le caractériser distinctement (par principe, un fichier ne peut pas être modifié sans que son condensat ne change). Le module de détermination 114 est un calculateur utilisant un programme de calcul de condensat analogue, (en termes de formule/algorithme) à celui ou ceux mis en oeuvre au sein de la base de données 12, du fait qu'il est propre à appliquer la même 3050555 11 fonction de hachage cryptographique que celle mise en oeuvre par la base de données 12. L'unité de mise à jour 11 comprend également un module 115 de transmission, du condensat calculé à partir du fichier de mise à jour reçu. Selon un aspect particulier, tel 5 qu'illustré par la figure 1, un tel module de transmission 115 est un module de transmission-réception configuré pour transmettre mais également recevoir des données. Ce module de transmission 115 est relié d'une part, au module de détermination 114 précité et d'autre part, selon une première variante au terminal mobile 10 via une liaison de données 18, ou selon une deuxième variante à l'écran de restitution 13 via une 10 liaison 19, filaire ou non. Selon un aspect optionnel de l'invention, la liaison de transmission 18 ou 19 utilisée entre le module de transmission 115 et l'entité destinataire, à savoir le terminal mobile 10 ou l'écran de restitution 13 de l'aéronef, est sécurisée ou ségréguée de sorte à éviter toute possibilité de leurrage par remplacement du condensat calculé par un 15 condensat valide. L'unité de mise à jour 11 comprend en outre un module 116 de mise à jour de l'ensemble de données informatiques de l'équipement avionique de l'aéronef. Un tel module de mise à jour 116 est, selon l'exemple de première architecture illustré par la figure 1 activé en présence d'une validation du fichier de mise à jour reçue 20 du terminal mobile. Pour ce faire, ce module de mise à jour 116 est connecté au module de transmission-réception 115 de l'unité de mise à jour 11, le module de transmission-réception 115 étant configuré pour recevoir des données du terminal mobile 10 via une liaison de données 18 du réseau de communication public. Un tel module de mise à jour 116 est configuré pour charger définitivement le fichier de mise à jour depuis sa mémoire 25 112 vers l'équipement avionique dont l'ensemble de données informatiques est concerné par le fichier de mise à jour. L'unité de mise à jour 11 comprend également optionnellement un module 117 de suppression du fichier de mise à jour de la zone temporaire de la deuxième mémoire 112. Un tel module de suppression 117 est activé en l'absence d'une validation reçue du 30 terminal mobile 10 par le module de réception précité. En d'autres termes, un tel module 117 de suppression est configuré pour bloquer l'utilisation du fichier de mise à jour. Selon une variante optionnelle, l'unité de mise à jour 11 comprend également un compteur (non représenté) connecté au module de transmission 115 précité, au module de réception et au module de suppression 117 décrits ci-dessus. Un tel compteur est 35 configuré pour mesurer le temps qui s'écoule à partir de la transmission, par l'unité de 3050555 12 mise à jour 11, du condensat calculé, et pour activer le module de suppression 117 en l'absence de validation reçue du terminal mobile au-delà d'une période prédéterminée. Selon un deuxième exemple d'architecture (non représenté) du système de traitement d'un fichier de mise à jour, le dispositif électronique de traitement d'un fichier 5 de mise à jour 1001 est intégré au sein de l'unité de mise à jour 11 au lieu d'être intégré dans le terminal mobile 10. Selon cette deuxième architecture du système de traitement, le terminal mobile 10 comprend toujours le deuxième module 103 d'obtention, via l'accès sécurisé à la base de donnée 12 utilisant la liaison sécurisée 16, d'un condensat de référence associé au fichier 10 de mise à jour. De plus, selon cette deuxième architecture du système de traitement, selon une première option (non représentée), le terminal mobile 10 comprend un module de transmission du condensat de référence à l'unité de mise à jour 11. Selon une deuxième option, l'écran du terminal mobile 10 est configuré pour 15 restituer automatiquement, ou sur requête, le condensat de référence. Selon cette deuxième architecture du système de traitement où l'unité de mise à jour 11 comprend le dispositif électronique de traitement 1001, l'unité de mise à jour comprend alors également un module d'obtention (i.e. obtention « indirecte ») d'un condensat de référence intégré au dispositif électronique de traitement 1001. 20 Selon une première option, le module d'obtention du condensat de référence du dispositif de traitement intégré à l'unité de mise à jour 11 comprend un module de réception configuré pour recevoir le condensat de référence émis par le module de transmission du terminal mobile 10. Selon une deuxième option, le module d'obtention du condensat de référence du 25 dispositif de traitement intégré à l'unité de mise à jour 11 comprend un module de réception configuré pour recevoir le condensat de référence saisi par l'opérateur 14. Selon une troisième option, le module d'obtention du condensat de référence du dispositif de traitement intégré à l'unité de mise à jour 11 comprend un module d'acquisition configuré pour mettre en oeuvre une reconnaissance optique du condensat 30 de référence sur un écran de restitution du terminal mobile. Selon cette deuxième architecture, le module d'obtention d'un condensat calculé, associé au fichier de mise à jour est le module de détermination 114 d'un condensat calculé, décrit précédemment en relation avec la première architecture représentée par la figure 1. 3050555 13 De manière similaire à la première architecture de système de traitement précédemment décrite, selon la deuxième architecture où le dispositif électronique de traitement est intégré dans l'unité de mise à jour, le dispositif électronique de traitement 1001 comprend optionnellement un module d'obtention 105 d'un indicateur de 5 comparaison du condensat calculé avec le condensat de référence. Ce module d'obtention 105 comprend selon une première variante une interface homme-machine 1050 permettant une interaction avec l'opérateur 14. Selon une deuxième variante, ce module d'obtention 105 est configuré pour mettre en oeuvre automatiquement (i.e. sans intervention d'un opérateur) la comparaison du condensat de référence et du condensat 10 calculé. Selon cette deuxième architecture de système de traitement où le dispositif électronique de traitement 1001 est intégré à l'unité de mise à jour 11, le module de transmission 107 de validation tel que décrit relativement à la première architecture, où le dispositif électronique de traitement est intégré au terminal mobile 10, n'est pas 15 nécessaire. Ainsi, selon cette deuxième architecture le module de traitement du fichier de mise à jour comprend, notamment lorsque le module d'obtention d'un indicateur de comparaison 105 est configuré pour mettre en oeuvre automatiquement (i.e. sans intervention d'un opérateur) la comparaison, le module de génération 106 d'une validation 20 V du fichier de mise à jour, le module de mise à jour 116 et le module de suppression 117 tels que décrits relativement à la première architecture. Selon un troisième exemple d'architecture du système de traitement d'un fichier de mise à jour (non représenté), le dispositif électronique de traitement d'un fichier de mise à jour 1001 est « éclaté » entre le terminal mobile 10 et l'unité de mise à jour 11. 25 En d'autres termes, d'une part, le terminal mobile 10 comprend toujours le deuxième module 103 d'obtention, via l'accès sécurisé à la base de donnée 12 utilisant la liaison sécurisée 16, d'un condensat de référence associé au fichier de mise à jour. En outre, selon cette troisième architecture, l'écran du terminal mobile 10 est configuré pour restituer à l'opérateur 14 le condensat de référence. 30 D'autre part, l'unité de mise à jour 11 comprend le module d'obtention d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour 11, d'une fonction de hachage cryptographique au fichier de mise à jour, ce module d'obtention d'un condensat calculé étant le module de détermination 114 d'un condensat calculé décrit précédemment en relation avec la 35 première architecture représentée par la figure 1. En outre, selon cette troisième 3050555 14 architecture, l'écran de l'aéronef 13 est configuré pour restituer à l'opérateur 14 le condensat calculé. Selon cette troisième architecture, le module de traitement, du fichier de mise à jour, en fonction d'une comparaison du condensat calculé avec le condensat de 5 référence, comprend une interface homme-machine 1050 permettant l'acquisition d'une validation (ou d'une requête de suppression du fichier de mise à jour) saisie par l'opérateur 14 qui a fait lui-même la comparaison entre le condensat calculé et le condensat de référence restitués réciproquement par l'écran 13 de l'aéronef et l'écran du terminal mobile 10. 10 Un tel module de traitement est intégré soit au terminal mobile 10 soit à l'unité de mise à jour 11. Lorsque le module de traitement est intégré au terminal mobile 10, il comprend optionnellement les moyens de transmission 107 de la validation à l'unité de mise à jour 11. 15 Lorsque le module de traitement est intégré à l'unité de mise à jour 11, le module de mise à jour 116, précédemment décrit relativement à la première architecture, est activé en présence de la validation saisie par l'opérateur 14. Le traitement d'un fichier de mise à jour, telle que mise en oeuvre au sein de la première architecture du système de traitement illustré par la figure 1, va être à présent 20 décrite à l'aide des figures 2 à 10 respectivement. Selon cette première architecture, la validation d'une mise à jour en tant que telle est mise en oeuvre par le terminal mobile 10 précédemment décrit et suppose une interaction, telle que décrit ci-après, avec d'une part l'unité de mise à jour 11, qui charge les données de mise à jour et met en oeuvre la mise à jour le cas échéant, et d'autre part 25 la base de donnée 12 qui sert de référence pour la validation. L'homme du métier comprendra que le procédé de traitement d'un fichier de mise à jour décrit ci-après est un exemple de réalisation parmi d'autres permettant de valider un fichier de mise à jour par un système de validation selon l'invention. Un tel procédé décrit en relation avec la première architecture de système de validation est aisément 30 transposable aux deux autres architectures de système de validation décrites précédemment. En premier lieu, selon le procédé de validation mis en oeuvre dans le système de validation dont une première architecture est illustrée sur la figure 1, l'unité de mise à jour 11 met en oeuvre une étape 61 de chargement des données de mise à jour dans une 35 zone temporaire de sa mémoire 112. Selon une première variante, une telle étape de 3050555 15 chargement 61 est opérée à partir de l'outil de chargement 17 connecté au module de chargement 113 de l'unité de mise à jour 11. Selon une deuxième variante, une telle étape de chargement 61 correspond à la réception par le module de chargement 113 du fichier de mise à jour transmises par une liaison de donnée 15 du réseau public par la 5 base de données 12. Une fois que l'étape de chargement 61 de ces données est effectuée, l'unité de mise à jour 11 met en oeuvre une étape 62 de détermination du condensat qui leur est associé en appliquant une fonction de hachage cryptographique, certifiée et identique à celle mise en oeuvre par la base de données 12. 10 Par exemple, une telle fonction de hachage cryptographique est de type SHA-1, SHA-2, SHA-224, SHA-256, SHA-3 etc. Selon l'invention, tout type de fonction de hachage est mis en oeuvre de sorte à délivrer un condensat, ou « empreinte » représentant au moins un fichier de mise à jour dont l'intégrité doit être vérifiée avant la mise en oeuvre effective de la mise à jour. 15 Lorsque la mise à jour requiert une pluralité de fichiers de mise à jour, la fonction de hachage est : - selon un premier exemple, appliquée à l'ensemble de la pluralité de sorte à délivrer un condensat pour l'ensemble de la pluralité, ou - selon un deuxième exemple, appliquée à un groupe de fichiers de mise à jour de la 20 pluralité, ou - selon un troisième exemple, appliquée à chaque fichier de la pluralité de sorte à délivrer autant de condensats qu'il y a de fichiers dans la pluralité, etc. Une fois l'étape de détermination 62 réalisée, l'unité de mise à jour 11 met en oeuvre une étape 63 de transmission de ce condensat calculé, soit, selon une première 25 variante illustrée par la figure 3, directement au terminal mobile 10 de l'opérateur 14, via une liaison, radio ou filaire, dédiée ou sécurisée, soit, selon une deuxième variante illustrée par la figure 4, à l'écran de restitution 13 de l'aéronef. Cette étape de transmission 63 comprend optionnellement des informations complémentaires d'identification du fichier de mise à jour, telles qu'un identifiant, un 30 numéro de version, l'origine ou l'auteur de ce fichier de mise à jour. De telles informations complémentaires d'identification permettent notamment de faciliter la gestion et la traçabilité des fichiers de mise à jour. Réciproquement, le terminal mobile 10 met en oeuvre une première étape d'obtention 21 du condensat calculé. Selon la première variante décrite ci-dessus et 35 illustrée par la figure 3, le terminal mobile 10 met en oeuvre une étape 210 de réception 3050555 16 du condensat calculé, transmis par l'unité de mise à jour 11, via une liaison, radio ou filaire, dédiée ou sécurisée. Selon la deuxième variante illustrée par la figure 4, une telle première étape d'obtention 21 par le terminal mobile 10 comprend une étape 212 d'acquisition, par 5 exemple par lecture, de l'écran de restitution 13 de l'aéronef auquel l'unité de mise à jour 11 à transmis le condensat calculé. Une telle étape d'acquisition 212 est par exemple basée sur une reconnaissance optique du condensat calculé. Selon une troisième variante illustrée par la figure 5, une telle première étape 10 d'obtention 21 par le terminal mobile 10 comprend une étape 211 de réception du condensat calculé saisi par l'opérateur 14, une fois que l'opérateur 14 a lu le condensat calculé restitué par l'écran de restitution 13. Le terminal mobile 10 met également en oeuvre une deuxième étape 22 d'obtention d'un condensat de référence également associé à l'ensemble de données 15 informatiques de l'équipement avionique à mettre à jour. Selon une première variante illustrée par la figure 6, le terminal mobile 10 met en oeuvre une deuxième étape 221 d'obtention de ce condensat de référence indépendamment de l'instant de mise en oeuvre de la première étape d'obtention 21 du condensat calculé. 20 En effet, selon cette variante, le terminal mobile 10 met en oeuvre une étape 220 de transmission d'une requête d'obtention de condensat(s) de référence destinée à la base de donnée 12 préalablement à une opération de maintenance mise en oeuvre par l'opérateur 14 portant le terminal mobile 10. Une fois le condensat de référence obtenu selon la deuxième étape d'obtention 25 221, le terminal mobile 10 met en oeuvre une étape 222 de stockage du condensat de référence sur une zone de la première mémoire 102 et attend la réalisation de la première étape d'obtention 21 du condensat calculé pour mettre en oeuvre les étapes ultérieures du procédé de validation de mise à jour telles que décrites ci-après. Selon une deuxième variante illustrée par la figure 7, le terminal mobile 10 attend 30 la réalisation de la première étape d'obtention 21 du condensat calculé pour mettre en oeuvre une étape 220 de transmission d'une requête d'obtention du condensat de référence correspondant auprès de la base de données 12. Selon cette variante le terminal mobile 10 met en oeuvre la deuxième étape d'obtention 221 en temps réel du condensat de référence. L'instant de mise en oeuvre de la deuxième étape d'obtention 35 221 du condensat de référence selon cette deuxième variante dépend donc directement 3050555 17 de l'instant de mise en oeuvre de la première étape d'obtention 21 par le terminal mobile du condensat calculé. Une fois le condensat de mise à jour et le condensat de référence obtenus respectivement selon les première et deuxième étapes d'obtention 21, 22 le terminal 5 mobile 10 met en oeuvre une étape d'obtention 23 d'un indicateur de comparaison de ces deux condensats. Selon une première variante illustrée par la figure 8, la comparaison en tant que telle est effectuée par l'opérateur 14 au moyen d'une interface homme-machine 1050. Par exemple, le condensat de référence et le condensat calculé sont restitués au cours d'une 10 étape 231 de restitution sur l'écran de l'interface homme-machine 1050 ou au moyen d'un haut-parleur. L'opérateur 14 effectue lui-même la comparaison et met en oeuvre une étape 232 de saisie d'un indicateur représentatif du résultat de cette comparaison. Un tel indicateur correspond par exemple à la saisie, par l'opérateur 14, du message « OK », lorsque le 15 résultat de comparaison est positif, et « KO » lorsque le résultat de comparaison est négatif. Un tel message est par exemple textuel et saisi au moyen d'un clavier (tactile ou non). Selon un autre exemple, un tel message est vocal et saisi au moyen d'un outil de reconnaissance vocale. Selon un autre exemple un tel message est saisi par pression d'une touche « OK » du clavier ou d'une touche « KO » du clavier. 20 Tout autre doublet d'indicateurs de comparaison peut être utilisé pour représenter le résultat de comparaison mis en oeuvre par l'opérateur, tel que l'utilisation de touches de couleur verte et rouge ou d'un code binaire 0 et 1, etc. Selon une deuxième variante illustrée par la figure 9, le terminal mobile 10 est configuré pour mettre en oeuvre automatiquement l'étape de comparaison 233 des deux 25 condensats en utilisant notamment une reconnaissance optique d'objet. Ainsi, selon cette deuxième variante, la mise en oeuvre de l'étape d'obtention 23 de l'indicateur de comparaison ne nécessite aucune intervention de l'opérateur 14.Selon une étape optionnelle, l'indicateur de comparaison est mémorisé (étape non représentée), par exemple dans la mémoire 102 du terminal mobile 10, ou directement dans une 30 mémoire de la base de donnée 12 (i.e. dans ce cas le terminal mobile 10 transmet l'indicateur de comparaison à la base de donnée 12 via la liaison sécurisée 16. Une telle mémorisation comprend par exemple la création d'un fichier de traçabilité (de l'anglais Log file) de la vérification en cours. Un tel fichier de traçabilité comprend optionnellement des informations 35 complémentaires d'identification du fichier de mise à jour, telles qu'un identifiant, un 3050555 18 numéro de version, l'origine ou l'auteur de ce fichier de mise à jour ou encore des informations relatives à la validation telles la date et l'heure, le nom de l'opérateur 14. Une telle mémorisation est par exemple automatique et systématique ou effectuée sur requête de l'opérateur notamment via une application logicielle du terminal mobile, 5 l'application logicielle étant accessible via l'interface homme-machine 1050 précédemment décrite. Optionnellement, l'indicateur de comparaison est ensuite utilisé par le terminal mobile 10 dans une étape 24 de génération, le cas échéant, d'une validation V des données de mise à jour chargées sur l'unité de mise à jour 11. 10 Plus précisément, lorsque l'indicateur de comparaison représente un résultat de comparaison positif (i.e. le condensat calculé et le condensat de référence sont identiques) la validation V permettant le traitement du fichier de mise à jour est générée au cours de l'étape de génération 24, puis transmise au cours d'une étape 25 de transmission à l'unité de mise à jour 11. 15 A réception de cette validation V (Y sur la figure 10), l'unité de mise à jour 11 met en oeuvre une étape 64 de mise à jour de l'ensemble de données informatiques de l'équipement avionique. En revanche, lorsque l'indicateur de comparaison représente un résultat de comparaison négatif (i.e. le condensat calculé et le condensat de référence sont 20 différents) aucune validation V n'est générée ni transmise par le terminal mobile 10 à l'unité de mise à jour 11. L'unité de mise à jour 11 ne recevant pas cette validation (N sur la figure 10), met alors en oeuvre une étape 65 de suppression des données de mise à jour de la zone temporaire de la mémoire 112 de l'unité de mise à jour 11. 25 Selon une variante de réalisation, une telle étape de suppression 65 est mise en oeuvre, par l'unité de mise à jour 11, à l'expiration d'une période prédéterminée mesurée par un compteur de l'unité de mise à jour 11. Ainsi, selon la présente invention il est proposé « d'externaliser » l'opération d'autorisation de mise à jour sur un terminal mobile 10 indépendant de l'aéronef sur lequel 30 les données de mise à jour sont chargées pour la mise à jour d'au moins un équipement avionique qui le constitue. Une telle externalisation rend plus complexe la mise en oeuvre de modifications malveillantes efficaces. En effet, selon la présente invention pour corrompre la mise à jour sans que cette corruption ne soit détectée, il est nécessaire de corrompre à la fois les 3050555 19 données de mises à jour, l'unité de mise à jour 11 localisé sur l'aéronef et le terminal mobile 10 d'un opérateur apte à être localisé en dehors de l'aéronef. En d'autres termes, la présente invention propose de distribuer différentes étapes nécessaires à une mise à jour sécurisée, en les répartissant entre la base de données 12 5 servant de référence certifiée, l'unité de mise à jour 11 qui, pour un fichier de mise à jour donné, calcule un condensat calculé associé, et le terminal mobile 10 qui permet de vérifier ce condensat calculé par l'unité de mise à jour 11, en obtenant par un chemin d'accès sécurisé à la base de données 12 le condensat de référence associé au fichier de mise à jour, le condensat de référence étant à comparer avec le condensat calculé, une 10 telle comparaison étant mise en oeuvre par un opérateur ou automatiquement tel que décrit précédemment. REVENDICATIONS1. Procédé de traitement d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, le procédé de traitement étant mis en oeuvre au sein d'un système de traitement comprenant un terminal mobile (10) indépendant de l'aéronef, une unité de mise à jour (11) intégrée à l'aéronef, et une base de données (12) distante dé l'aéronef et du terminal mobile (10), le procédé de traitement comprenant: - l'obtention (21) d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour (11), d'une fonction de hachage cryptographique au fichier de mise à jour, - l'obtention (22) d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant acquis par le terminal mobile (10) par accès sécurisé à une base de données comprenant le condensat de référence, - le traitement du fichier de mise à jour en fonction d'une comparaison du condensat calculé avec le condensat de référence. 2. Procédé de traitement selon la revendication 1, dans lequel la comparaison du condensat calculé avec le condensat de référence comprend une obtention (23) d'un indicateur de comparaison comprenant : - l'acquisition (232) de l'indicateur de comparaison saisi par un opérateur (14), ou - la mise en oeuvre automatique (233) de la comparaison du condensat calculé avec le condensat de référence. 3. Procédé de traitement selon la revendication 2, dans lequel le procédé comprend en outre la mémorisation de l'indicateur de comparaison. 4. Procédé de traitement selon l'une quelconque des revendications 1 à 3, dans lequel, lorsqu'il est mis en oeuvre par le terminal mobile (10), l'obtention (21) du condensat calculé comprend: la réception (210) du condensat calculé émis par l'unité de mise à jour (11), ou - la réception (211) du condensat calculé saisi par un opérateur, ou une acquisition (212), basée sur une reconnaissance optique du condensat calculé, sur un écran de restitution (13) de l'aéronef. 3050555 21 5. Procédé de traitement selon l'une quelconque des revendications 1 à 3, dans lequel, lorsqu'il est mis en oeuvre par l'unité de mise à jour (11), l'obtention (22) du condensat de référence comprend : 5 la réception du condensat de référence émis par le terminal mobile (10), ou la réception du condensat de référence saisi par un opérateur, ou une acquisition, basée sur une reconnaissance optique du condensat de référence, sur un écran de restitution du terminal mobile (10). 10 6. Procédé de traitement selon l'une quelconque des revendications précédentes, dans lequel le traitement du fichier de mise à jour en fonction d'une comparaison du condensat calculé avec le condensat de référence comprend: la validation du fichier de mise à jour lorsque le condensat calculé est identique au condensat de référence, ou 15 - la suppression (117) du fichier de mise à jour lorsque le condensat calculé est différent du condensat de référence. 7. Produit programme d'ordinateur comportant des instructions logicielles qui lorsqu'elles sont mises en oeuvre par une unité de traitement d'informations intégrée au 20 sein d'un système de traitement comprenant un terminal mobile (10) indépendant de l'aéronef, une unité de mise à jour (11) intégrée à l'aéronef, et une base de données (12) distante de l'aéronef et du terminal mobile (10), mettent en oeuvre le procédé de traitement selon l'une quelconque des revendications précédentes. 25 8. Dispositif électronique de traitement (1001) d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, le dispositif électronique de traitement étant configuré pour être intégré dans un système de traitement d'un fichier de mise à jour, le système de traitement comprenant un terminal mobile (10) indépendant de l'aéronef, une unité de mise à jour (11) intégrée à l'aéronef, et 30 une base de données (12) distante de l'aéronef et du terminal mobile (10), caractérisé en ce que le dispositif électronique de traitement (1001) comprend: un module d'obtention .004,114) d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour (11), d'une fonction de hachage cryptographique au fichier de mise à jour, 3050555 22 un module d'obtention (103) d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant acquis par le terminal mobile (10) par accès sécurisé à une base de données comprenant le condensat de référence, un module de traitement du fichier de mise à jour en fonction d'une comparaison 5 du condensat calculé avec le condensat de référence. 9. Système de traitement d'un fichier de mise à jour d'au moins un ensemble de données informatiques d'un équipement avionique d'un aéronef, comprenant au moins un terminal mobile (10) indépendant de l'aéronef, une unité de mise à jour (11) intégrée à 10 l'aéronef, une base de données (12) distante de l'aéronef et du terminal mobile (10), caractérisé en ce que : le terminal mobile (10) comprend au moins un module d'obtention (103) d'un condensat de référence, associé au fichier de mise à jour, le condensat de référence étant acquis par le terminal mobile (10) par accès sécurisé à une base 15 de données comprenant le condensat de référence, l'unité de mise à jour (11) comprend au moins un module d'obtention (114) d'un condensat calculé, associé au fichier de mise à jour, le condensat calculé résultant de l'application, par l'unité de mise à jour (11), d'une fonction de hachage cryptographique au fichier de mise à jour, et 20 le terminal mobile (10), ou l'unité de mise à jour (11), comprend un module de traitement du fichier de mise à jour en fonction d'une comparaison du condensat calculé avec le condensat de référence. 10. Système de traitement selon la revendication 9, dans lequel l'unité de mise à jour 25 (11) est une unité électronique intégrée dans l'équipement avionique, ou une unité électronique distincte du ou des équipements avioniques de l'aéronef.