Brevet FR3082330A1 — publié le 20191213

CYBERSECURITE AERONAUTIQUE Domaine de l'invention L'invention concerne le domaine des procédés et systèmes pour la cybersécurité dans le secteur aéronautique. Etat de la Technique Le secteur aéronautique fait l'objet d'attaques informatiques. L'introduction des technologies IP dans le cockpit et les développements de la connectivité en cabine augmentent les surfaces d'attaque. En matière de sécurité informatique, les autorités de régulation du secteur aéronautique requièrent que l'origine d'un dysfonctionnement affectant la sûreté du vol d'un aéronef soit déterminée, et en particulier son caractère malveillant. L'aéronef doit donc comprendre des mécanismes de capture des évènements de sécurité et de détection d'anomalies, au plus près des fonctions les plus critiques. Les logiciels actuellement commercialisés concernent un domaine technique différent de l'avionique, domaine pour lequel il n'existe aucune solution spécifique. Dans le domaine générique des technologies de l'information (« Information Technology» ou IT), les logiciels existants concernent généralement la surveillance de la sécurité de l'information et de gestion des événements et sont fréquemment appelés « Security Information and Event Management » (acronyme SIEM). Les composants des systèmes d'information génèrent dans leur environnement d'exploitation de nombreuses traces d'exécution (dits messages de notifications ou « logs »). Les logiciels SIEM existants fournissent différentes fonctions, notamment de a) collecte (contexte, logs et évènements 2 d'un système d'information), b) de regroupement (normalisation, agrégation des logs et évènements), c) d'analyse (e.g. corrélation, hiérarchisation), d) de présentation (e.g. génération de rapports, visualisation), e) de conservation (e.g. rétention, archivage à valeur probante). 5 De manière générale, sur la forme, les procédés et systèmes SIEM ne peuvent pas être déployés i.e. embarqués à l'heure actuelle sur les avions en exploitation, dans le domaine cockpit, notamment en raison des contraintes de gestion de ressources critiques ainsi que de la logistique complexe des mises à 10 jour et de certification que cela imposerait le cas échéant. Sur le fond, ces logiciels et procédés SIEM ne sont pas adaptés aux contextes et aux contraintes très spécifiques rencontrés dans le secteur aéronautique. 15 De nombreux problèmes techniques spécifiques se posent dans le secteur avionique, lesquels ne sont pas même abordés dans la gestion de systèmes d'information dans des contextes bureautique ou industriels voisins. La littérature brevet, dans le domaine général de la gestion de l'information ou 20 dans le secteur spécifique de l'avionique, ne permet pas de résoudre le problème mentionné. Par exemple, le document de brevet FR2944117 divulgue des procédés et des dispositifs de gestion d'événements liés à la sécurité des systèmes informatiques d'aéronefs. Le document enseigne l'utilisation de règles prédéterminées pour caractériser des événements afin de permettre 25 l'établissement d'un rapport de sécurité. Cette approche est intéressante mais présente des limitations. Il existe un besoin pour des procédés et des systèmes avancés pour la sécurité des systèmes d'information embarqués dans un ou plusieurs aéronefs, qu'ils soient actuellement en service (« retrofit ») ou prévus (« linefit »). 30 Résumé de l'invention L'invention concerne des systèmes et des procédés pour la gestion de la sécurité d'un aéronef en vue de sa sûreté aéronautique. Un procédé peut 3 comprendre la détermination d'une ou plusieurs anomalies de sécurité en fonction d'un ou de plusieurs traitements effectués sur des enregistrements collectés et/ou reçus. Différents objets sont manipulés, notamment des anomalies de sécurité, des alertes qualifiées, des attaques informatiques, etc. 5 Des données de référence peuvent être accumulées, consolidées et apprises au cours du temps. Le vol d'un aéronef est comparé à la base de connaissances ainsi constituée et enrichie. Des développements décrivent les périmètres de sécurité avionique, l'usage des phases de vol, les déclenchements des comparaisons, la granularité du système de requête, des traitements de 10 données comprenant des heuristiques, des analyses statistiques sur un aéronef ou une flotte d'appareils. Des aspects de logiciel et d'architecture sont décrits (calculateurs centralisés, décentralisés ou distribués). Le procédé selon l'invention permet notamment une collecte, par exemple en 15 continu pour les aéronefs disposant de moyens de transmission en exploitation, des données issues des aéronefs constituants la flotte sous surveillance. Les données collectées peuvent être sauvegardées ou analysées pour détecter et diagnostiquer des évènements de sécurité. 20 Avantageusement, l'invention permet de détecter ou diagnostiquer un évènement sécurité durant l'exploitation d'un aéronef connecté. Avantageusement, l'invention peut être exploitée par des compagnies aériennes qui opèrent différents types d'aéronefs sur différents segments de vol et qui 25 doivent assurer la capture des évènements de sécurité et leur analyse en vue d'adapter les solutions de protection à la menace. Avantageusement, l'invention permet de détecter des menaces avancées persistantes (« Advanced Persistent Threats »). 30 Avantageusement, le procédé selon l'invention permet de conduire des analyses après incident (par exemple de confirmer ou d'infirmer la véracité d'une cyberattaque qui serait revendiquée, ou encore d'évaluer les impacts en matière de sûreté de fonctionnement d'une attaque avérée). 35 4 Avantageusement, le procédé selon l'invention élargit le périmètre des données prises en compte, notamment à partir des enregistrements des systèmes embarqués des domaines avioniques ACD et AISD (enregistrements de maintenance et réglementaires) ainsi que des traces et logs en provenance du 5 domaine PIESD, même s'ils n'ont pas pour vocation première la sécurité de l'aéronef. Les procédés et les systèmes selon l'invention permettent à partir de dispositifs informatiques et de programmes logiciels au sol d'effectuer la surveillance de 10 l'ensemble d'une flotte d'aéronefs de différents types avions. Ces aéronefs peuvent être exploités de différentes façons (par exemple sur plusieurs liaisons commerciales. Un segment de vol est représentée par un point un aéroport de départ et un aéroport d'arrivée). 15 Avantageusement, l'invention permet d'apporter des réponses aux problèmes techniques spécifiques de l'avionique, notamment sur l'analyse et la surveillance d'une flotte d'appareils, la gestion de vulnérabilités et de gestion contre-mesures spécifiques, etc. Par exemple, une attaque portant sur un aéronef d'un type spécifique peut être perpétrée sur d'autres aéronefs de même type et/ou en 20 profitant des leçons apprises des précédents échecs). Une attaque peut être préparée sur différents avions, pour plus de furtivité, ce qui nécessite une analyse amont particulière. Un même appareil peut être diversement équipé (par exemple avec des systèmes de divertissement connectés très différents, et également des appareils avioniques). Des flottes hétéroclites (ou selon 25 différentes configurations des éléments de la flotte) peuvent être diversement prises en compte. Avantageusement, le procédé selon l'invention permet d'accueillir des évolutions en matière de configurations des aéronefs, ayant pour conséquences l'apparition 30 ou la disparition de types de notification sans pour autant nécessiter la modification de ses composants. Avantageusement, des modes de réalisation du procédé selon l'invention peuvent permettre l'identification ou l'identification améliorée des attaques et 35 des étapes constitutives de ces attaques. 5 Avantageusement, l'invention ne requiert pas de formation ou de compétence cyber sécurité spécifique. 5 Avantageusement, la mise en oeuvre de l'invention peut s'appuyer sur les équipements des aéronefs existants et peut intégrer les évolutions futures notamment sur l'intégration d'applications avioniques capables de générer des messages de notifications ou logs. 10 Avantageusement, le procédé selon l'invention permet de filtrer et/ou de sélectionner des traces ou logs, en vue d'en extraire les éléments véritablement symptomatiques d'une attaque ou d'un évènement de sécurité, de les comparer entre eux et incidemment d'alléger la charge d'analyse associée. 15 Avantageusement, par contraste avec l'état de la technique, une fois les traitements d'analyse effectués (que ce soit en mode courant d'administration système ou en mode forensique, i.e. d'analyse post évènement), les données continuent de pouvoir être exploitées pour améliorer les différents services rendus (et en particulier l'analyse). 20 Description des figures D'autres caractéristiques et avantages de l'invention apparaîtront à l'aide de la 25 description qui suit et des figures des dessins annexés dans lesquels : La figure 1 illustre l'environnement général de l'invention ; La figure 2 illustre des exemples d'étapes d'un mode de réalisation de l'invention ; 30 La figure 3 illustre d'autres exemples d'étapes d'un mode de réalisation de l'invention Description détaillée 35 Certains termes et environnements techniques sont définis ci-après. 6 Un aéronef est un moyen de transport capable d'évoluer au sein de l'atmosphère terrestre. Par exemple, un aéronef peut être un avion ou un hélicoptère (ou bien encore un drone). 5 L'acronyme ou sigle SOC correspond à la terminologie « Security Operations Center » (« centre opérationnel de sécurité » ou « centre de sécurité »). Ce service est un service au sol de la compagnie aérienne. Ce SOC sert de centre de collecte, détection, d'analyse, de traitement et gestion des incidents (de 10 sécurité). Dans ce SOC peuvent être effectués le stockage des données, leur analyse, leur tri ou sélection, ainsi que la mise en relation avec d'autres informations (datas, données) qui corroborent les vols. L'acronyme ou sigle EFB correspond à la terminologie anglaise "Electronic Flight 15 Bag" et désigne des librairies électroniques embarquées. Généralement traduit par "sac de vol électronique" ou "sacoche/cartable de vol électronique" ou "tablette de vol électronique", un EFB est un appareil électronique portable et utilisé par le personnel navigant. Ce support électronique peut notamment remplacer toute la documentation papier qui existait avant. 20 L'acronyme IHM correspond à Interface Homme-Machine (HMI en anglais, « Human Machine Interface »). La saisie des informations, et l'affichage des informations saisies ou calculées par les moyens d'affichage, constituent une telle interface homme-machine. De manière générale, les moyens IHM 25 permettent la saisie et la consultation des informations de plan de vol, des données de pilotage, etc. Un « log » est l'enregistrement d'un évènement auquel est associée une distribution de probabilité. L'exploitation des logs consistera en première 30 approche à établir des distributions probabilistes et fréquences caractéristiques des évènements enregistrés. L'expression « enregistrement » ou « record » peut être également utilisé ci-après. La figure 1 illustre l'environnement technique global de l'invention. 35 7 Un aéronef comprend une cabine de pilotage et des soutes avioniques 120. Au sein de ces dernières se trouvent des équipements avioniques de pilotage 121, des équipements avioniques optionnels (également certifiés) et des équipements optionnels non-avioniques dont l'usage est approuvé par le 5 régulateur aéronautique par une approbation dite opérationnelle. Des équipements du « monde ouvert » peuvent également être embarqués. Des moyens au sol (centres de contrôle des opérations, bureaux d'étude, SOC, etc) 100 sont en communication avec un aéronef 110. L'aéronef comprend une 10 cabine de pilotage ou un cockpit 120. Au sein du cockpit se trouvent des équipements de pilotage 121 (dits équipements avioniques), comprenant par exemple un ou plusieurs calculateurs de bord (moyens de calcul, de mémorisation et de stockage de données), dont notamment un ou plusieurs systèmes avioniques de pilotage, mais pas seulement, des moyens d'affichage 15 ou de visualisation et de saisie de données, des moyens de communication, ainsi que (éventuellement) des moyens de retours haptiques. Les ressources informatiques peuvent être locales et/ou accédées à distance (par exemple informatique en nuage ou "Cloud computing" 125), notamment par des routeurs sécurisés (chiffrement des données). 20 Plusieurs aéronefs, e.g. 110 et 111 peuvent communiquer (directement et/ou indirectement). La figure 2 illustre des exemples d'étapes de modes de réalisation de l'invention. 25 Dans un mode de réalisation, le procédé comprend une étape consistant à se connecter activement facilement des données (1), à traiter ces données (2), à déterminer des anomalies (3) à partir du traitement de ces données des anomalies, puis éventuellement à déterminer des attaques informatiques (4), et 30 enfin, le cas échéant, a donné l'alerte (5). Dans un mode de réalisation, il est décrit un procédé pour la gestion de la sécurité d'un aéronef, comprenant les étapes consistant à : collecter activement et/ou recevoir passivement (1) des enregistrements associés à l'aéronef ; - 35 déterminer (2) une ou plusieurs anomalies de sécurité en fonction d'un ou de 8 plusieurs traitements effectués sur lesdits enregistrements. Le terme « sécurité » désigne la « sécurité pour la sûreté aéronautique » ou la « sécurité affectant la sûreté aéronautique » ou « sécurité en lien avec la sûreté aéronautique » (en anglais « security for safety »). Cette sécurité comprend donc la sécurité 5 informatique, en particulier des systèmes du domaine ACD mais de manière générale via le système d'information de l'aéronef. La sécurité de l'aéronef comprend aussi la sécurité physique (ou matérielle) et la sécurité logique de l'aéronef. Les attaques contre l'avion peuvent être diverses, depuis les attaques physiques externes (e.g. impulsion électromagnétique, laser aveuglant) 10 jusqu'aux attaques logiques internes (e.g. piratage par insertion de logiciels malveillants via les ports USB mis à disposition aux passagers). Dans un mode de réalisation, le procédé comprend en outre une étape consistant à déterminer (3) une ou plusieurs attaques informatiques en fonction 15 d'une ou de plusieurs anomalies de sécurité. Selon les modes de réalisation, plusieurs objets intermédiaires peuvent permettre de passer des anomalies (déviations relatives par rapport à des situations connues ou des données anormales ou extrêmes). Par exemple, plusieurs « anomalies de sécurité » peuvent déterminer une ou plusieurs « alertes qualifiées » (faux positifs, faux 20 négatifs, vrai positif, etc), lesquelles peuvent déterminer (par applications de seuils d'alerte) une ou plusieurs « attaques de sécurité » (e.g. « attaques informatiques », lesquelles à leur tour peuvent être associées (de manière prédéfinie ou de manière dynamique) à une ou plusieurs « réactions » ou « contre-mesures ». Les actions ou rôles ou déterminations ou atténuations ou 25 modifications ou modulations sont partagés entre l'homme et/ou la machine (e.g. instructions codées sous forme logicielle, demandes des compagnies aériennes conditionnant ou influençant les demandes des avionneurs conditionnant à leur tour, etc) 30 Dans un mode de réalisation, le procédé comprend en outre une étape à émettre (4) une ou plusieurs alertes. Les alertes peuvent comprendre des messages qui peuvent être affichés de manière analogique ou non (digital, numérique, analogique). Les alertes peuvent être qualifiées, i.e. catégorisées ou classifiées par l'homme et/ou la machine. 35 9 Dans un mode de réalisation, l'étape de traitement comprend une ou plusieurs des étapes consistant à constituer (ou maintenir ou produire ou déterminer) des données de référence ; et à comparer chaque enregistrement collecté auxdites données de référence. Les données de référence sont modifiées avec 5 parcimonie. Elles peuvent représenter une base de connaissance i.e. les connaissances constituées par accumulation de données et sans cesse affinées des valeurs « normales » ou « acceptables » associées à un vol sans incident ou anomalie ou attaque. Les données de référence peuvent comprendre des seuils ou des plages de seuils, des priorités, des pondérations, des criticités 10 différenciées, des « enveloppes » de valeurs ou des « tolérances », etc. Dans un mode de réalisation, les données de référence comprennent des descriptions ou des métadonnées ou des étiquettes ou des labels associés aux enregistrements de vol et permettant l'imputation non-ambigüe d'une anomalie 15 de sécurité à un dispositif embarqué. L'imputation non-ambigüe peut être définie dans l'espace et/ou le temps. Dans un mode de réalisation, l'imputation non-ambigüe est réalisée au cours du temps durant une phase d'exploitation prédéfinie ou une phase de vol prédéfinie. 20 Par exemple, il peut être déterminé que des tentatives d'attaques ont lieu sur les équipements embarqués de divertissement, spécifiquement au cours du décollage. Dans un mode de réalisation, une ou plusieurs données de référence sont 25 modifiées par apprentissage automatique. Par construction, les données de référence constituent des données soigneusement structurées (filtrées, validées, etc). Les méthodes d'apprentissage modifient les données de référence avec parcimonie ; le sens sur verbe « modifier » implique potentiellement autant des ajouts que des suppressions, et donc des substitutions de données. Il est 30 incidemment noté que les données réglementaires qui doivent être conservées dans leur forme originale (logbook ou autres logs) continuent à l'être (non représentées sur les dessins). Les données peuvent par définition être copiées et il est implicite que des copies des données originales sont par la suite manipulées par les modes de réalisation de l'invention. 35 10 Dans un mode de réalisation, les données de référence comprennent des données associées à une ou plusieurs des informations comprenant l'immatriculation d'un aéronef ;un type d'aéronef ; un numéro de vol ; l'identification d'un vol ; une date temporelle exprimée en année, mois, jour, 5 heure, minute ou seconde ; un intervalle de temps ; un temps de vol ; une liaison aéronautique ; un segment de vol ; un code IATA d'aéroport de départ et/ou d'arrivée et/ou de la présence d'au moins un dispositif matériel spécifique à bord. Le système de requête peut en effet être à granularité fine: par exemple, il sera possible de chercher tous les avions ayant présentée une anomalie de type 10 X, sur une liaison long-courrier et sur un période de temps particulière. Il sera aussi possible de comparer tous les vols d'A320 selon des critères précis, etc. Dans un mode de réalisation, un traitement effectué sur un enregistrement consiste à comparer ledit enregistrement de vol avec les données de référence. 15 Ce mode de réalisation souligne le traitement « unitaire » d'un enregistrement dans le flux de données reçu. Dans un mode de réalisation, l'étape de comparaison est déclenchée sur demande du sol et/ou selon un contexte de vol. Le déclenchement de certaines 20 comparaisons peut être contrôlé, de manière autonome ou automatisée à bord mais également sur demande (e.g. par le pilote ou les équipes ou machines au sol, ou de l'ATC, etc). Le contexte de vol désigne plusieurs objets, notamment la phase de vol (décollage, croisière, ...), des événements de pilotage, ou encore des points de passage du plan de vol. Le déclenchement peut être explicite ou 25 implicite (inféré par des informations en provenance de la compagnie aérienne par exemple). Dans un mode de réalisation, un traitement consiste à réaliser une analyse statistique comparative des enregistrements collectés avec les données de 30 référence. Ce mode de réalisation souligne le traitement statistique des données (événement rare ou exceptionnel, récurrent, etc). Dans un mode de réalisation, l'analyse statistique comparative est réalisée pour un aéronef donné. Ce mode de réalisation précise le périmètre du traitement 35 statistique ; ici, cela concerne un aéronef. 11 Dans un mode de réalisation, l'analyse statistique comparative est réalisée pour plusieurs aéronefs. Ce mode de réalisation élargit le périmètre du traitement statistique ; ici, cela concerne la flotte d'aéronefs (e.g. tous les avions d'une 5 même compagnie, ou tous les avions à l'échelle planétaire, via des échanges de données normalisés). Dans un mode de réalisation, un ou plusieurs enregistrements collectés et/ou reçus sont associés avec un ou plusieurs aéronefs. Ce mode de réalisation 10 traduit le fait que les données de tous les avions, ou d'un maximum d'entre eux, peut servir ou concourir à la gestion de la sécurité pour la sûreté aéronautique d'un aéronef donné. Le terme « associé » souligne l'existence d'un lien. Le verbe « comparer » présuppose que certaines données sont préalablement liées. 15 Dans un mode de réalisation, le procédé comprend en outre une étape consistant à recevoir un retour quant à l'une quelconque des étapes des revendications précédentes. Le terme « retour désigne une rétroaction, i.e. une modification quantitative et/ou une appréciation qualitative, sur un objet ou une 20 étape intermédiaire du procédé. Par exemple, le procédé peut comprendre une ou plusieurs boucles de rétroaction (ou de mécanismes de feedforward) quant à la production, la création, la maintenance ou l'apprentissage des données de référence (compagnies aériennes, avionneurs, équipementiers) ; la qualification des anomalies de sécurité (compagnies aériennes) ; la définition des seuils 25 d'alerte (compagnies aériennes) ; l'adaptation des contre-mesures (compagnies aériennes, avionneurs, équipementiers), etc. En fonction des retours reçus, les étapes du procédé peuvent être modifiées (atténuées, pondérées, maximisées, accélérées, etc). Par exemple, pourront être manipulés les objets suivants : la détermination d'une anomalie (et de ses critères de qualification) ; la 30 détermination d'une attaque ; la détermination d'une réaction ou d'une contre- mesure ; la mise à jour d'un ou de plusieurs seuils d'alerte ; l'acceptation ou le rejet d'une ou plusieurs données dans les données de références ; la qualification d'une alerte émise par le centre de sécurité au sol et/ou une demande d'intervention en vol ; l'acceptation ou le rejet ou la modification d'une 35 procédure de contre-mesure en réponse à une attaque, etc. 12 Avantageusement, les précautions, mesures, faits, actions, réactions, contre-mesures en matière de cybersécurité sont manipulées de manière algorithmique (ce qui est avantageux par rapport à la réglementation actuelle pour laquelle des 5 connaissances cyber ne sont pas exigibles de la part du pilote). Les temps de réaction associés aux implémentations matérielles et/ou logicielles à l'exclusion du facteur humain sont également avantageux, en ce qu'ils sont rapides (aussi ou plus rapides que les attaques). La défense informatique peut en effet être proactive voire préemptive. 10 Il est décrit un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer une ou plusieurs des étapes du procédé, lorsque ledit programme est exécuté sur un ordinateur. 15 II est décrit un système pour la gestion de la sécurité d'un aéronef, le système comprenant un ou plusieurs calculateurs configurés pour collecter activement et/ou recevoir passivement des enregistrements associés à l'aéronef ; et déterminer une ou plusieurs anomalies de sécurité en fonction d'un ou de plusieurs traitements effectués sur lesdits enregistrements. Dans un mode de 20 réalisation, le système comprend une pluralité de calculateurs arrangés selon une architecture centralisée, ou décentralisée ou distribuée. Collecte des données 25 La collecte des données peut être active (requête, sur demande, fouille de données, etc) et/ou passive (réception d'un flux de données venant de l'extérieur). Dans un mode de réalisation de l'invention, les informations de tout type sont 30 reçues ou collectées, puis consolidées, notamment des données de vols, des données de type réglementaire et également de type non réglementaire : PEISD 210, ACD 220, AISD 230 ou d'autres domaines 240. L'acronyme PEISD 210 (« Passenger Entertainment Information System 35 Domain ») désigne le système d'information et ses équipements dédiés au 13 divertissement des passagers. Le réseau des équipements concernés est soit isolé de celui du cockpit et de celui de l'AISD, soit connecté au réseau de l'AISD par un routeur sécurisé de communication. Ce domaine peut être vecteur d'attaque (ports USB mis à la disposition des passagers). 5 L'acronyme ACD correspond à « Aircraft Control Domain » et désigne l'ensemble des systèmes électroniques dédiés à la gestion du vol y compris les systèmes de surveillance et de maintenance de ces propres systèmes. L'ensemble des équipements concernés sont soit dans le- cockpit, soit au plus 10 près des éléments mécaniques nécessaires à l'opération de l'aéronef qu'ils pilotent ou surveillent, tels les systèmes de freinage. L'acronyme AISD (« Airline Information System Domain ») désigne le système d'information embarqué de la compagnie aérienne. Le réseau des équipements 15 concernés est soit isolé de celui du cockpit, soit relié en mode diode i.e. un seul sens de circulation des informations, de l'ACD vers l'AISD, soit connecté à l'ACD par un routeur sécurisé de communication. D'autres sources d'information ne sont pas représentées 240: les données 20 issues des EFBs emportés par le pilote ou le personnel navigant, des données issues du « monde ouvert » (reçues en premier lieu par la compagnie aérienne, sélectionnées et/ou filtrées par cette dernière). Par exemple, les données liées à un type d'aéronef recensent avantageusement 25 la présence d'un système de divertissement à bord (lequel peut éventuellement contenir des failles de sécurité) et/ou celle d'un routeur sécurisé embarqué. Cette présence peut être mentionnée dans le fichier dit « config avion ». 30 Les enregistrements comprennent notamment avantageusement les logs PEISD, ainsi que tout ou partie des enregistrements disponibles concernant l'aéronef, lesdits enregistrements étant associés au fonctionnement des systèmes embarqués d'un (ou de plusieurs aéronefs), par exemple selon les différentes phases d'exploitation données (ou « contextes »). 35 14 L'enregistrement des paramètres de vol est obligatoire pour expliquer tout problème lié à l'avion au cours d'incidents ou accidents. Ces imports qu'ils soient partiels (import continu) ou complets (import après la phase d'exploitation) peut servir et être comparés aux différents ensembles de données de référence 5 correspondants. Les enregistrements peuvent comprendre les données de vol, comprenant des paramètres de vol réglementaires 10 Dans un mode de réalisation, un enregistrement collecté ou reçu est associé avec le domaine avionique de provenance dudit enregistrement, un numéro d'aéronef, l'identification d'un vol et la date d'introduction dans le système sol de type SOC. 15 Dans un mode de réalisation, un enregistrement est issu d'un système avionique ou d'un EFB ou de toute application dans le cockpit, de source avionique dans les domaines PIESD, AISD, ACD depuis un ou plusieurs aéronefs. Dans un mode de réalisation les données collectées sont élargies aux données 20 de type ACARS, ARINC, METAR (météorologie observée), TAF (météorologie prévisionnelle), NOTAM (messages navigants aériens), 0001 (Marqueurs des temps blocs générés par les avions en autonome e.g. porte fermées, décollage, atterrissage, porte ouvertes), des données techniques QAR/FDR (données de navigation et de trajectoire, de gestion de mission et d'identité), des données de 25 rapports (CMS), etc. Enrichissement des données Dans un mode de réalisation, le procédé comprend une étape consistant à 30 enrichir 220 les données collectées. Par enrichissement, il est entendu des croisements de données, des mises au format, des établissements de corrélation entre les données, etc. Dans un mode de réalisation, l'étape consistant à enrichir les données PEISD, ACD ET AISD vise les données du monde ouvert (Internet) préalablement validés par la compagnie aérienne (par 35 exemple, des données météorologiques pourraient être falsifiées et nécessitent 15 donc une validation préalable avant l'injection dans le système d'aide à la décision selon l'invention). Etiquetage des données Dans un mode de réalisation, le procédé comprend une étape consistant à étiqueter 230 (ou apposer un label, ou individualiser, ou horodater, etc). Cet étiquetage peut être réalisé techniquement de différentes manières, par concaténation, valeurs de hachage, horodatage, etc. L'étiquetage permet notamment d'associer ou d'agréger ou de consolider les données des différents domaines envisagés (lesquels peuvent être élargis). Données de référence 15 Avantageusement, les données sont alors consolidées dans des « bases de référence » 240, lesquels représentent les enregistrements normaux ou nominaux ou « sans anomalies », associés à un segment de plan de vol, ou un plan de vol, ou une liaison aéronautique (e.g. d'un aéroport A un aéroport B) ou 20 à tout type de critère associé ou associable avec le vol d'un ou de plusieurs aéronefs (« dénominateurs communs »). Traitement des données 25 Un flux de données entrant 250, mesuré ou reçu par un aéronef donné est alors comparé avec une ou plusieurs bases de référence 240 (ou « données de référence »). Les traitements ou comparaisons effectués sur lesdits enregistrements ou logs 30 comprennent une ou plusieurs des opérations comprenant la conduite d'heuristiques, une ou plusieurs comparaisons statiques, ou encore dynamiques (non exhaustif) 5 10 Dans un mode de réalisation, un traitement effectué sur un enregistrement 35 consiste à comparer les paramètres de vol selon les données contextuelles du 16 vol, des données météorologiques, la liste des équipements embarqués et actifs. Ces comparaisons peuvent permettre d'établir un rapport détaillé incluant les données du vol à soumettre à l'équipe en charge de la maintenance en condition de sécurité de la flotte sous surveillance, qui pourra alors demander à la solution 5 selon les cas : a) intégrer des notifications non référencées dans les ensembles de références; b) intégrer les nouveaux décomptes de notifications pour recalculer leurs fréquences d'apparition dans les ensembles de référence ;c) constituer un rapport circonstancié en direction d'un fournisseur d'un produit à l'origine d'une notification à éclaircir. 10 Dans un mode de réalisation, un traitement consiste à conduire une analyse statistique comparative par analyse de corrélation des enregistrements collectés. Le procédé peut comprendre des étapes consistant à comparer les 15 enregistrements de mêmes vols et/ou de vols similaires effectués avec des aéronefs différents (mesure de similarité, distance, etc). Dans un mode de réalisation, l'analyse statistique comparative comprend une analyse statistique de l'ensemble des données et associe à chaque enregistrement sa fréquence observée. Dans un mode de réalisation, un traitement consiste à déterminer des 20 traces et/ou évènements non conçus pour la surveillance sécurité i.e. des signaux faibles révélateurs d'attaques ou de tentatives d'attaques Dans un mode de réalisation, les traitements mis en oeuvre peuvent être modifiés en fonction ou à mesure des évolutions avioniques (logs sécurités 25 additionnels, ajouts équipements, seuils et d'alerte, définition des criticités, etc). Apprentissage Dans un mode de réalisation, les données ou base de référence 240 font l'objet 30 d'un mécanisme d'apprentissage 241. Des étapes d'apprentissage (« machine learning ») peuvent en effet être mises en oeuvre. L'apprentissage peut être de différents types, et peut notamment comprendre des étapes d'apprentissage supervisé, d'apprentissage semi- 35 supervisé, d'apprentissage par renforcement, d'apprentissage par transfert, 17 d'apprentissage profond ou d'apprentissage fédéré. Différents algorithmes peuvent être utilisés, notamment les machines à vecteur de support ; le "boosting" ; les réseaux de neurones; la méthode des k plus proches voisins ; les arbres de décision "Random Forest"; la mixture gaussienne ; la régression 5 logistique ; l'analyse discriminante linéaire ; les algorithmes génétiques et la programmation génétique. Peuvent également être utilisés des algorithmes comme l'espérance-maximisation, l'analyse en composantes principales, des cartes auto-adaptatives, etc. 10 En mutualisant les données collectées à grande échelle (inter-compagnies aériennes, régulateurs, etc), des bases de données d'apprentissage conséquentes peuvent être constituées (données réelles, mais aussi calculées ou attaques simulées, etc). 15 Par exemple, dans un mode de réalisation, le mécanisme d'apprentissage 241 comprend une ou plusieurs des techniques d'apprentissage choisies parmi l'apprentissage automatique non supervisé, l'apprentissage automatique supervisé, et l'apprentissage profond. 20 Dans un mode de réalisation, le mécanisme d'apprentissage tient compte (e.g. est pondéré par) les retours donnés suite aux étapes réalisées en aval (détermination d'anomalies 3, détermination d'attaques 4, et levées d'alerte 5). Selon les modes de réalisation, la création et la maintenance des données de référence est significativement manuelle (automatisés à la marge) ou bien 25 significativement automatisés (contrôles manuels à la marge). Dans certains modes de réalisation, la création et la maintenance des données de référence est exclusivement automatique (« Big Data »). Dans un mode de réalisation, le traitement des données avioniques peut 30 mobiliser une ou plusieurs techniques d'apprentissage. La constitution des bases de références peuvent correspondre à la création du jeu de données pour l'application d'algorithmes de classification binaire. Dans un mode de réalisation, la dimension prise en compte pour l'établissement du modèle est la fréquence d'apparition des logs qui est calculée et associée à chaque log à 35 l'introduction des données si elles ne sont pas présentes dans l'enregistrement 18 ou si le log est de type opaque i.e. de la données binaire et donc pas sous forme d'un texte. Dans un mode de réalisation, une première étape de classification peut avoir 5 pour fonction de déterminer dans un contexte approchant (e.g. même segment, même type avion) si des logs relèvent d'un évènement de sécurité en comparant leur fréquence ou tout autre attribut numérique retenu pour évaluer leur présence à la base de référence, et, le cas échéant, lèvera une alerte. Dans un mode de réalisation, la mise en place du modèle peut faire appel à l'approche 10 naïve : les premières données sont considérées comme non associées à la détection d'une attaque, c'est-à-dire qu'elles ne seront pas identifiées comme liées à une attaque. Un premier seuil de variabilité de ces attributs numériques sera mathématiquement défini pour chaque log. Par la suite, ce seuil sera mis à jour par apprentissage en réinjectant des nouvelles données après analyse pour 15 le calcul des seuils. En parallèle, la même approche peut être effectuée pour un type avion, et/ou pour un avion. Dans un mode de réalisation, une deuxième étape de classification exploitera l'ensemble des bases de référence pour améliorer la précision de détection. L'analyse peut facultativement être éclairée par les données contextuelles du vol (validation humaine du modèle). 20 La figure 3 illustre un exemple de mode de réalisation de l'étape consistant à déterminer et/ou émettre une alerte (à destination du pilote et/ou envers une autre machine). 25 Détermination d'anomalies de sécurité Des anomalies 3 sont déterminées en comparant les données actuelles d'un aéronef avec une ou plusieurs bases de référence (maintenues par apprentissage). 30 Détermination d'attaques A partir de ces anomalies 3, une ou plusieurs attaques 4 peuvent être déterminées (par exemple une attaque de type 1 sera fréquemment associée 35 avec trois anomalies de type X, Y et Z ; tandis qu'une attaque de type 2 sera 19 marquée par la présence d'une anomalie de type W). Différentes modalités techniques permettent le passage d'une collection d'anomalies à la caractérisation d'une attaque informatique (e.g. schémas 5 connus, analyse de graphe, heuristiques, etc.) Les attaques peuvent être caractérisées, notamment en matière d'impact sur la disponibilité des systèmes et/ou l'intégrité des données d'un ou de plusieurs aéronefs. 10 La figure 3 illustre quelques détails ou exemples en matière de gestion des anomalies, de détermination des attaques et de décision quant aux alertes. Des anomalies 3 sont déterminées en comparant les données actuelles d'un 15 aéronef avec une ou plusieurs bases de référence (maintenues par apprentissage). Certaines anomalies ou écarts 511 pourront être jugés suspicieux, tandis que d'autres écarts 512 peuvent être rattachables à des données contextuelles (au 20 contexte de vol courant). Les écarts suspicieux 511 peuvent notamment comprendre un ou plusieurs logs inconnus, un enregistrement présent à une fréquence supérieure à un seuil de fréquence prédéfini, un enregistrement attendu et pourtant absent du flux de données de 250, un enregistrement typiquement associé à une attaque répertoriée (signature), etc (non exhaustif). 25 Les analyses effectuées sur les anomalies ou écarts 511 et 512 permettent de décider lesquelles des alertes parmi les alertes candidates 510 seront déterminées comme étant des attaques réelles, justifiant une ou plusieurs alertes effectives 520. 30 Les alertes peuvent être effectuées à destination de l'homme (e.g. pilote, personnel navigant, compagnie aérienne, ATC, etc) et/ou de la machine (e.g. SOC, système avionique, etc). 35 Dans un mode de réalisation, le procédé comprend en outre une étape 20 consistant à afficher une alerte ou produire une alerte en réponse à la détermination d'une attaque informatique. Dans un mode de réalisation, le contenu d'une alerte est associé à une ou 5 plusieurs notifications : a) des notifications applicatives non référencées ; b) des notifications dont les fréquences d'apparition dépassent celles de référence selon un seuil prédéfini ; c) des notifications associables à un évènement de sécurité portant sur un matériel spécifique selon le fournisseur dudit matériel ; et/ou d) des notifications présentes dans la référence et dont la présence n'a pas 10 été détectée. Il est décrit un système comprenant des moyens pour mettre en oeuvre une ou plusieurs étapes du procédé selon l'invention. 15 Dans un mode de réalisation, le système comprend une pluralité de calculateurs arrangés selon une architecture centralisée, ou décentralisée, ou distribuée, ou dynamique. L' « intelligence » (entité logique de traitement des données, comprenant des 20 sous-unités matérielles pour la réalisation des différentes étapes logiques du procédé) peut être distribuée de manières diverses. Dans un mode de réalisation centralisé, les traitements sont (tous) effectués dans un système sol indépendant, ou intégrable dans un centre de sécurité de type SOC. Différents compromis entre centralisation (un seul centre), décentralisation (plusieurs 25 centres) et distribution (pas de centre) sont envisageables. Un traitement centralisé permet avantageusement de consolider les données et de croiser des informations, qui ne l'auraient pas été autrement, par exemple en les liant par des dénominateurs communs. 30 Matériellement, ces différentes architectures peuvent se traduire en différentes implémentations ou déclinaisons. Quelques exemples sont décrits ci-après (et peuvent être généralement combinés). Dans un mode de réalisation distribué, un des aéronefs de la flotte embarque la 35 base de données de référence et également la logique de traitement. Il 21 communique de manière bilatérale avec les autres avions de la flotte d'avions. Dans un mode de réalisation totalement distribué, tous les aéronefs partagent une copie des données et disposent de la logique mise en oeuvre (mis à jour au sol systématiquement avant le vol de chaque avion), un équipement sol se 5 chargeant des mises à jour en cours de vol (e.g. par satellite). Dans un mode de réalisation décentralisé (« archipel »), plusieurs avions/noeuds/hubs majeurs communiquent avec d'autres appareils qui leur sont alloués. 10 Dans un mode de réalisation dynamique, la « répartition » des données et/ou de l' « intelligence » évolue dynamiquement au cours du temps (par exemple à un moment donné, le sol dispose des données et des capacités de traitements, puis cet ensemble est alloué à un avion A, qui délègue à un moment ultérieur ses 15 capacités entre plusieurs avions B et C, etc.). Les compromis effectués peuvent être fonction de la connectivité, des attaques conduites, du niveau de robustesse ou de redondance souhaité, etc. 20 La présente invention peut s'implémenter à partir d'éléments matériel et/ou logiciel. Elle peut être disponible en tant que produit programme d'ordinateur sur un support lisible par ordinateur. Le support peut être électronique, magnétique, optique, REVENDICATIONS1. Procédé pour la gestion de la sécurité d'un aéronef, comprenant les étapes consistant à : - collecter activement et/ou recevoir passivement (1) des enregistrements associés à l'aéronef ; - déterminer (2) une ou plusieurs anomalies de sécurité en fonction d'un ou de plusieurs traitements effectués sur lesdits enregistrements. 2. Procédé selon la revendication 1, comprenant en outre une étape consistant à déterminer (3) une ou plusieurs attaques informatiques en fonction d'une ou de plusieurs anomalies de sécurité. 3. Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une étape à émettre (4) une ou plusieurs alertes. 4. Procédé selon la revendication 1, dans lequel l'étape de traitement comprend une ou plusieurs des étapes consistant à : - constituer et maintenir des données de référence ; - comparer chaque enregistrement collecté auxdites données de référence. 5. Procédé selon la revendication 4, les données de référence comprenant des descriptions ou des métadonnées ou des étiquettes ou des labels associés aux enregistrements de vol et permettant l'imputation non-ambigüe d'une anomalie de sécurité à un dispositif embarqué. 6. Procédé selon la revendication 5, ladite imputation non-ambigüe étant réalisée au cours du temps durant une phase d'exploitation prédéfinie ou une phase de vol prédéfinie. 7. Procédé selon la revendication 4, une ou plusieurs données de référence étant modifiées par apprentissage automatique. 8. Procédé selon la revendication 4, les données de référence comprenant des 35 données associées à une ou plusieurs des informations comprenant 23 l'immatriculation d'un aéronef ;un type d'aéronef ; un numéro de vol ; l'identification d'un vol ; une date temporelle exprimée en année, mois, jour, heure, minute ou seconde ; un intervalle de temps ; un temps de vol ; une liaison aéronautique ; un segment de vol ; un code IATA d'aéroport de départ et/ou 5 d'arrivée et/ou de la présence d'au moins un dispositif matériel spécifique à bord. 9. Procédé selon la revendication 1, un traitement effectué sur un enregistrement consistant à comparer ledit enregistrement de vol avec les 10 données de référence. 10. Procédé selon la revendication 9, l'étape de comparaison étant déclenchée sur demande du sol et/ou selon un contexte de vol. 15 11. Procédé selon la revendication 1, un traitement consistant à réaliser une analyse statistique comparative des enregistrements collectés avec les données de référence. 12. Procédé selon la revendication 11, ladite analyse statistique comparative 20 étant réalisée pour un aéronef donné 13. Procédé selon la revendication 11, ladite analyse statistique comparative étant réalisée pour plusieurs aéronefs. 25 14. Procédé selon l'une quelconque des revendications précédentes, dans lequel un ou plusieurs enregistrements collectés et/ou reçus sont associés avec un ou plusieurs aéronefs. 15. Procédé selon l'une quelconque des revendications précédentes, 30 comprenant en outre une étape consistant à recevoir un retour quant à l'une quelconque des étapes des revendications précédentes. 16. Un produit programme d'ordinateur, ledit programme d'ordinateur comprenant des instructions de code permettant d'effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 15, lorsque ledit 24 programme est exécuté sur un ordinateur. 17. Un système pour la gestion de la sécurité d'un aéronef, le système comprenant un ou plusieurs calculateurs configurés pour collecter activement 5 et/ou recevoir passivement des enregistrements associés à l'aéronef ; déterminer une ou plusieurs anomalies de sécurité en fonction d'un ou de plusieurs traitements effectués sur lesdits enregistrements. 18. Système selon la revendication 17, la pluralité de calculateurs étant arrangée 10 selon une architecture centralisée, ou décentralisée ou distribuée. 15 20 25 30 35