Brevet FR3093831A1 — publié le 20200918

Description Titre de l'invention : Dispositif pour et procédé de transmission de données Domaine technique de l'invention [0001] La présente invention concerne un dispositif pour et un procédé de transmission de données, notamment dans un aéronef tel qu'un avion. [0002] Sont divulgués un dispositif et un procédé permettant l'échange sûr d'informations entre des calculateurs, de préférence à l'aide d'un bus de données d'un aéronef. Typiquement, différents calculateurs et des bus de données locaux sont utilisés pour les systèmes nécessaires au vol. De tels systèmes comprennent par exemple le système de commande de vol, le système de train d'atterrissage, le système d' actionnement ou le système de climatisation d'un aéronef. Etat de la technique [0003] Selon une réalisation à titre d'exemple, les fonctions de régulation et de surveillance essentielles pour le système sont mises en oeuvre dans des unités de calcul centrales qui sont souvent disposées dans le fuselage d'un avion dans ce qui s'appelle le compartiment d'avionique (« Avionics Bay »). Ces calculateurs centraux transmettent typiquement les signaux nécessaires à la commande aux unités électroniques distantes à l'aide de bus de données. Les unités électroniques distantes, qui sont également appelées des « Remote electronic units (REU), mettent en oeuvre localement (par exemple dans une aile d'un avion) les fonctions de commande des actionneurs. Une transmission de données erronées qui sont essentielles pour la commande des actionneurs, peut résulter en une situation de vol critique et, dans le pire des cas, causer la chute de l'aéronef. [0004] Pour cette raison, il faut garantir une génération sûre des informations nécessaires pour la régulation, la commande et la surveillance, une transmission sûre de données entre les calculateurs centraux et les unités électroniques distantes et un traitement sûr des données disponibles jusqu'à la commande des actionneurs. Pour cela, l'invention décrit un dispositif et une méthode qui réduisent, sur le plan de l'avion, la complexité des appareils et la quantité de câbles nécessaires. [0005] Est considéré comme état de la technique une transmission physiquement séparée de signaux ou de données ayant la même teneur en signification pour chaque groupe de système réalisé en redondance, pour garantir l'intégrité. Ceci est réalisé de cette façon aussi afin qu'il ne se produisent pas de falsifications identiques, et ainsi des interprétations erronées non reconnues du côté du destinataire du groupe de système redondant respectif. 2 [0006] Par le fait de prévoir des transmissions de données physiquement séparées, il est possible de reconnaître, chez le destinataire, une erreur par la différence des contenus. Dans beaucoup de systèmes critiques sur le plan de la grande sécurité tel un système de l'aviation, il est important de détecter une erreur de manière sûre. [0007] Habituellement, pour l'amélioration de la reconnaissance, dans chaque ensemble de données transmis, un code CRC (« Cyclic Rcdundancy Check » ; vérification cyclique de redondance) est introduit au protocole. Afin de pouvoir attribuer les données dans le temps, au moins les ensembles de données allant ensemble et se suivant dans le temps reçoivent des valeurs de comptage (également appelés des tampons de temps) qui changent selon leur ordre dans le temps. Ceci est fait du côté de l'application, si bien qu'un comportement déterministe peut aussi être supporté pour des dispositions ayant plusieurs destinataires. [0008] Dans l'état de la technique, puisqu'une erreur de données ne peut pas être reconnue de manière sûre par une voie simple de calcul et de transmission, la même information est transmise par au moins deux générateurs de données, bus de données et récepteurs qui sont différents les uns des autres en ce qui concerne leur conception et les logiciels. [0009] Comme l'homme du métier sait, la vérification cyclique de redondance ne peut, par exemple, recevoir des erreurs lorsque le polynôme d'erreur octroyé par des erreurs peut être divisé par le polynôme générateur de la vérification cyclique de redondance. Alors, lorsque le polynôme d'erreur est différent de zéro et peut être divisé par le polynôme générateur, l'erreur n'est pas reconnue par la vérification CRC. [0010] Afin de rendre possible de reconnaître aussi de telles erreurs, de grands efforts sont faits aussi bien en ce qui concerne la conception et le logiciel des ordinateurs qu'en ce qui concerne le câblage de l'avion (poids de câbles augmenté par des voies doubles pour les signaux, pose plus complexe des câbles dans l'avion, davantage de connecteurs). [0011] Le but de l'invention est d'obtenir la réduction du poids de câbles dans l'avion et la réduction en appareillage pour les ordinateurs tout en garantissant l'intégrité nécessaire des signaux à transmettre. Ceci doit être mis en oeuvre en utilisant une voie de transmission physique entre les calculateurs en communication. [0012] Afin de faire des économies de poids de câbles, ce qui est particulièrement avantageux dans le domaine des avions, il est souhaitable de trouver une possibilité de transmettre les données de telle façon par une seule liaison physique que, malgré tout, l'intégrité des données soit garantie et qu'une falsification puisse être reconnue de manière sûre. Les vérifications CRC incorporées dans les protocoles de transmission ne sont pas suffisantes pour une reconnaissance sûre, notamment lorsque l'exigence de sécurité fonctionnelle est à un niveau très élevé. [0013] Les désavantages énoncés ci-avant sont surmontés par un dispositif tel que décrit ci- 3 après. [0014] Ainsi, il est prévu un dispositif pour la transmission de données, comprenant une première unité de calculateur avec un premier module et un deuxième module, une deuxième unité de calculateur également avec un premier module et un deuxième module, une première liaison de transmission de données entre le premier module et le deuxième module de la première unité de calculateur, une deuxième liaison de transmission de données entre le premier module et le deuxième module de la deuxième unité de calculateur et une troisième liaison de transmission de données entre le premier module de la première unité de calculateur et le premier module de la deuxième unité de calculateur, le dispositif étant configure pour transmettre une première suite temporelle de paquets de données du premier module de la première unité de calculateur au premier module de la deuxième unité de calculateur et, en plus, une deuxième suite temporelle de paquets de données du deuxième module de la première unité de calculateur au deuxième module de la deuxième unité de calculateur, le premier module de la première unité de calculateur étant configuré pour compléter chacun des plusieurs paquets de données de la première suite par une première valeur de comptage qui diffère respectivement d'un paquet de données au suivant, d'un incrément, le deuxième module de la première unité de calculateur étant configuré pour compléter chacun des plusieurs paquets de données de la deuxième suite par un code CRC qui est basé sur le paquet de données respectif et sur une deuxième valeur de comptage y attachée qui diffère respectivement d'un paquet de données au suivant de la deuxième suite temporelle, d'un incrément, le deuxième module de la première unité de calculateur étant configuré en outre pour transmettre les paquets de données élargis par la deuxième valeur de comptage et le code CRC, du deuxième module de la première unité de calculateur via la première liaison de transmission de données au premier module de la première unité de calculateur, le premier module de la première unité de calculateur étant configuré pour recevoir les paquets de données élargis par la deuxième valeur de comptage et le code CRC, du deuxième module afin d'attacher respectivement un paquet de données des paquets de données élargis reçus, de la deuxième suite, à un paquet de données élargi correspondant dans le temps de la première suite et pour transmettre ensemble les paquets de données combinés ainsi formés au premier module, via la troisième liaison de transmission de données à la deuxième unité de calculateur, le premier module de la deuxième unité de calculateur étant configuré pour diviser les paquets de données combinés en les paquets de données élargis respectifs de la première suite et les paquets de données élargis respectifs de la deuxième suite et pour transmettre les paquets de données élargis respectifs de la deuxième suite via la deuxième liaison de transmission de données au deuxième module de la deuxième unité de calculateur et le premier module de la deuxième unité de calculateur étant configure pour effectuer une vérification du code CRC de paquets de données élargis arrivant ensuite, de la deuxième suite. [0015] Comme on reconnaît, le dispositif décrit est particulièrement adapté pour la commu- nication entre des parties d'un groupe de système réalisé de manière redondante. Les parties des groupes de système réalisés de manière redondante ne sont pas reliées, comme c'est le cas dans l'état de la technique, par des lignes de liaison physiques individuelles, mais par une liaison physique commune qui relie tous les groupes de système réalisés de manière redondante. La sécurité nécessaire de transmission par rapport à l'intégrité des données est obtenue par un codage CRC dans lequel des paquets de données disposés temporellement les uns derrière les autres sont pourvus d'une valeur de comptage qui incrémente, si bien que le code CRC formé sur cette base reconnaît dans le temps de manière fiable des erreurs statiques. [0016] Un code CRC prévu selon l'invention et complété dans l'application peut augmenter nettement la possibilité de reconnaître une erreur. Un choix judicieux et un ordre suffisamment élevé du polynôme générateur permettent d'ajuster le degré de reconnaissance d'erreur. Cc qui est important pour cette nouvelle transmission de données sont la combinaison des mécanismes et la prise en compte d'une valeur de comptage dans le calcul CRC. Par cela, même pour une donnée constante dans le temps (ou plusieurs données constantes), donc avec des tampons de temps identiques, des CRC qui diffèrent de manière définie sont engendrés. Une vérification CRC multiple du côté récepteur, de données arrivant dans un ordre temporel les unes après les autres fait en sorte qu'une sécurité de reconnaissance maintes fois plus élevée est produite. [0017] Une erreur statique qui donne par hasard un résultat CRC correct, sera découverte à la prochaine donnée, avec une plus grande probabilité, avec un nouveau calcul CRC qui sera différent en raison de la valeur de comptage changée. Avec une troisième valeur vérifiée, l'effet est renforcé de manière correspondante. [0018] Selon une réalisation optionnelle, il est prévu que la première liaison de transmission de données, la deuxième liaison de transmission de données et/ou la troisième liaison de transmission de données soit une liaison de transmission de données physique, notamment une liaison de transmission de données par fil ou sans fil, et/ou que la troisième liaison de transmission de données soit réalisée uniquement par une liaison physique et qu'aucune autre liaison de transmission de données physique n'existe entre la première unité de calculateur et la deuxième unité de calculateur. [0019] Ainsi, il est exclu qu'une autre liaison de transmission de données existe entre les deux unités de calculateur, par laquelle un échange de données pourrait avoir lieu. [0020] En outre, le fait de compléter un code CRC peut représenter l'attachement de bits de contrôle à un paquet de données à vérifier, sur la base d'une vérification cyclique de redondance. Le concept d'établir un code CRC avec son polynôme générateur est connu de l'homme du métier et n'est donc pas expliqué ici. La suite de bits qui doit être pourvue d'un code CRC, est donc pourvue de bits de contrôle qui, de façon typique, sont attachés à la suite de bits. Ces bits de contrôle représentent le reste d'une division des bits de contrôle vus comme un polynôme (multiplié par le degré de polynôme le plus élevé du polynôme générateur). [0021] Selon une autre modification optionnelle de l'invention, la première unité de cal- culateur peut être configurée pour engendrer la première suite de paquets de données dans son premier module et/ou la première unité de calculateur peut être configurée pour engendrer la deuxième suite de paquets de données dans son deuxième module. Sont alors engendrés et transmis selon le mode opératoire expliqué, les bits à transmettre des modules de la première unité de calculateur dont la tâche est d'engendrer et de transmettre des informations réciproquement redondantes. [0022] Avantageusement, il peut alors être prévu que le premier module de la première unité de calculateur, le deuxième module de la première unité de calculateur, le premier module de la deuxième unité de calculateur et/ou le deuxième module de la deuxième unité de calculateur représente un calculateur indépendant qui comprend, de préférence, une CPU et une mémoire de travail. En séparant les différentes unités de calculateur les unes des autres sur le plan de la structure, une défaillance du côté du matériel ne peut pas entraîner une défaillance totale de plusieurs modules. Souvent, la conception structurelle des modules, bien qu'ils soient structurellement séparés les uns des autres, est réalisée de façons différentes afin d'exclure des erreurs survenant simultanément en raison de leur structure. [0023] De préférence, le premier module de la première unité de calculateur et le deuxième module de la première unité de calculateur constituent des systèmes redondants l'un par rapport à l'autre qui transmettent, de préférence, lors de leur fonctionnement régulier sans erreur, la même information dans leurs paquets de données. De façon alternative ou de façon supplémentaire, il peut être prévu que le premier module de la deuxième unité de calculateur et le deuxième module de la deuxième unité de calculateur constituent des systèmes redondants l'un par rapport à l'autre qui exploitent, de préférence, lors de leur fonctionnement régulier sans erreur, la même information dans leurs paquets de données. [0024] Le premier et le deuxième module de la première unité de calculateur et aussi de la deuxième unité de calculateur peuvent donc effectuer des fonctions respectivement redondantes l'une par rapport à l'autre. Ainsi, il est possible de transmettre la même information, qui doit être reçue de manière sûre et non falsifiée par le premier et aussi le deuxième module du côté de la deuxième unité de calculateur, aussi bien par le premier que par le deuxième module de la première unité de calculateur. [0025] Selon un autre développement de l'invention, il peut être prévu que le premier 6 module de la première unité de calculateur et le premier module de la deuxième unité de calculateur constituent un groupe de système, que le deuxième module de la première unité de calculateur et le deuxième module de la deuxième unité de calculateur constituent un groupe de système et que les deux groupes de système constituent des systèmes de groupe redondants l'un par rapport à l'autre et exploitent, de préférence, lors de leur fonctionnement régulier sans erreur, les mêmes informations dans les paquets de données transmis. [0026] De préférence, dans le paquet de données combiné, sont combinés des paquets de données de la première suite et de la deuxième suite allant temporellement ensemble, qui, lors de leur fonctionnement régulier sans erreur, portent en eux la même information. En général, la première suite provient du premier module et la deuxième suite provient du deuxième module de la première unité de calculateur. [0027] Selon un autre développement de l'invention, il peut être prévu que le premier module de la première unité de calculateur soit configuré pour pourvoir le paquet de données combiné d'un code CRC qui est basé sur le paquet de données combiné, avant une transmission au premier module de la deuxième unité de calculateur, et que le premier module de la deuxième unité de calculateur soit configuré pour effectuer une vérification du code CRC qui est basé sur le paquet de données combiné. Par conséquent, il y a un autre code CRC qui est alors engendré par le premier module de la première unité de calculateur et qui est vérifié par le premier module de la deuxième unité de calculateur. [0028] De préférence, le premier module de la première unité de calculateur est configuré en outre comme le premier module de la deuxième unité de calculateur et vice versa, le deuxième module de la première unité de calculateur est configuré en outre comme le deuxième module de la deuxième unité de calculateur et vice versa, si bien qu'une communication bidirectionnelle entre la première unité de calculateur et la deuxième unité de calculateur soit possible de manière semblable et puisse avoir lieu. [0029] En outre, il peut être prévu que le premier module de la première unité de calculateur, le deuxième module de la première unité de calculateur, le premier module de la deuxième unité de calculateur et/ou le deuxième module de la deuxième unité de calculateur soient réalisés par un microcontrôleur et/ou un FPGA, de préférence de façon telle que l'un des modules d'une unité de calculateur soit réalisé par un micro-contrôleur et un autre des modules de la même unité de calculateur soit réalisé par un FPGA. [0030] Relatif à l'invention, il est également décrit un procédé de transmission de données à l'aide d'un dispositif qui comprend une première unité de calculateur avec un premier module et un deuxième module, une deuxième unité de calculateur également avec un premier module et un deuxième module, une première liaison de transmission de 7 données entre le premier module et le deuxième module de la première unité de calculateur, une deuxième liaison de transmission de données entre le premier module et le deuxième module de la deuxième unité de calculateur et une troisième liaison de transmission de données entre le premier module de la première unité de calculateur et le premier module de la deuxième unité de calculateur, dans cc procédé, une première suite temporelle de paquets de données est transmise du premier module de la première unité de calculateur au premier module de la deuxième unité de calculateur et, en plus, une deuxième suite temporelle de paquets de données est transmise du deuxième module de la première unité de calculateur au deuxième module de la deuxième unité de calculateur, chacun des plusieurs paquets de données de la première suite est complété par une première valeur de comptage qui diffère respectivement d'un paquet de données au suivant, d'un incrément, chacun des plusieurs paquets de données de la deuxième suite est complété par un code CRC qui est basé sur le paquet de données respectif et sur une deuxième valeur de comptage y attachée qui diffère respectivement d'un paquet de données au suivant de la deuxième suite temporelle, d'un incrément, les paquets de données élargis par la deuxième valeur de comptage et le code CRC sont transmis du deuxième module de la première unité de calculateur via la première liaison de transmission de données au premier module de la première unité de calculateur, les paquets de données élargis par la deuxième valeur de comptage et le code CRC sont reçus par le deuxième module afin d'attacher respectivement un paquet de données des paquets de données élargis reçus, de la deuxième suite, à un paquet de données élargi con-espondant dans le temps de la première suite et de transmettre ensemble les paquets de données combinés ainsi formés au premier module, via la troisième liaison de transmission de données à la deuxième unité de calculateur, les paquets de données combinés sont divisés en les paquets de données élargis respectifs de la première suite et les paquets de données élargis respectifs de la deuxième suite, et les paquets de données élargis divisés respectifs de la deuxième suite sont transmis via la deuxième liaison de transmission de données au deuxième module de la deuxième unité de calculateur et une vérification du code CRC de paquets de données élargis, arrivant ensuite, de la deuxième suite est effectuée. [0031] Le procédé peut être développé de manière avantageuse par le fait que la troisième liaison de transmission de données est réalisée uniquement par une liaison physique et aucune autre liaison de transmission de données physique n'existe entre la première unité de calculateur et la deuxième unité de calculateur. [0032] L'invention concerne par ailleurs un bus de données local dans un aéronef, notamment dans un avion, où le bus de données local comprend le dispositif pour la transmission de données selon l'une des variantes du dispositif énoncées ci-avant ou mettant en oeuvre le procédé selon l'une des variantes énoncées ci-avant. 8 100331 Par ailleurs, l'invention concerne un aéronef, notamment un avion, où, pour la com- munication entre un calculateur central et. une unité électronique à distance, par exemple pour la commande du système de commande de vol, le système de train d'atterrissage, le système d'actionnement ou le système de climatisation, recours est fait au bus de données selon l'une des variantes énoncées ci-avant du dispositif ou au procédé. Brève description des dessins [0034] D'autres détails, caractéristiques et avantages de l'invention ressortiront de la des- cription ci-après des figures, où sont montrés : [0035] [fig.1] une représentation schématique d'un dispositif pour la transmission de données selon l'état de la technique, [0036] [fig.2] une représentation schématique d'un dispositif pour la transmission de données selon l'invention et [0037] [fig.3] une représentation schématique du paquet de données combiné qui est envoyé via la liaison de transmission de données des différentes unités de calculateur. Description des modes de réalisation [0038] La figure 1 représente un dispositif 100 pour la transmission de données selon l'état de la technique, tel qu'il est utilisé, par exemple, dans un aéronef. On reconnaît une première unité de calculateur 101 et une unité de calculateur 102 séparée de celle-ci, entre lesquelles des données doivent être transmises Afin d'assurer l'intégrité de la transmission de données, H est de l'état de la technique de prévoir une transmission physiquement séparée de signaux ou de données ayant le même contenu sémantique. De cette manière, il est assuré que ne peuvent survenir les mêmes déformations ni les mêmes interprétations erronées qui en découleraient. Ainsi, dans l'unité de calculateur 102 réceptrice, une erreur peut être détectée par le biais d'une différence entre les contenus des informations envoyées de manière redondante. 100391 Pour préparer les informations ayant respectivement un effet redondant les unes par rapport aux autres, un premier module 121 et un deuxième module 122 sont prévus dans l'unité de calculateur émettrice 101. Chaque module 121, 122 de la première unité de calculateur 101 est relié, via sa propre liaison de transmission de données physique 141, 142, à un module associé 131, 132 de la deuxième unité de calculateur 102. La liaison logique 151 entre le premier module 121 de la première unité de calculateur 101 et le premier module 131 de la deuxième unité de calculateur 102 ainsi que la liaison logique 152 entre le deuxième module 122 de la première unité de calculateur 101 et le deuxième module 122 de la deuxième unité de calculateur 102 sont alors réalisées via des liaisons 141, 142 physiquement séparées l'une de l'autre. Les liaisons logiques 151, 152 ne partagent donc nulle part une plateforme de transmission 9 physique commune. [0040] Pour une association temporelle des données transmises des systèmes redondants séparés, elles peuvent être pourvues respectivement de valeurs de comptage (tampon de temps). Ceci peut être fait dans l'application ou dans le protocole. De cette façon, un comportement déterministe peut aussi être supporté dans des agencements de plusieurs récepteurs. [0041] Cc qui est désavantageux dans la réalisation représentée d'un système selon la figure 1 est l'effort substantiel en matériel et logiciel, notamment le câblage présent en double qui entraîne un poids élevé en câble et demande un travail de câblage supplémentaire et un très grand nombre de connecteurs. [0042] La figure 2 représente la conception schématique d'un dispositif 200 selon l'invention pour la transmission de données qui, tout en maintenant l'intégrité nécessaire des signaux à transmettre, réduit le poids des câbles et le nombre de connecteurs nécessaires. [0043] La conception de la première unité de calculateur 201 et de la deuxième unité de cal- culateur 202 ressemble à celle de la figure 1. Ainsi, la première unité de calculateur 201 comprend un premier module 221 et un deuxième module 222. La deuxième unité de calculateur 202 comprend, elle aussi, un premier module 231 et un deuxième module 232. [0044] A l'encontre de l'état de la technique, il y a une liaison de transmission de données entre le premier module 221 de la première unité de calculateur 201 et le deuxième module 222 de la première unité de calculateur 201. De même, une liaison de transmission de données est prévue entre le premier module 231 de la deuxième unité de calculateur 202 et le deuxième module 232 de la deuxième unité de calculateur 202. De plus, les deux unités de calculateur 201, 202 sont reliées l'une à l'autre par une seule liaison de transmission de données physique 241. Elle va du premier module 221 de la première unité de calculateur 201 au premier module 231 de la deuxième unité de calculateur 202. [0045] La liaison logique 261 établie entre les deux deuxièmes modules 222, 232 passe donc par les premiers modules 221, 231 et partage avec la liaison logique 251 entre les premiers modules 221, 231 une liaison de transmission de données physique 241 commune. Bien que cela ne soit pas représenté sur la figure 2, une communication bidirectionnelle entre les deux unités de calculateur ou leurs modules respectifs est bien sûr possible à la place de la communication unidirectionnelle. [0046] Afin de garantir alors l'intégrité des données malgré la liaison de transmission physique commune, les procédés CRC prévus dans l'état de la technique ne sont pas suffisants. Un CRC supplémentaire, inséré de préférence au niveau de l'application, peut améliorer la possibilité de reconnaître une erreur de manière telle que même des exigences fonctionnelles très élevées concernant la sécurité fonctionnelle peuvent être satisfaites. Il est alors avantageux d'intégrer une valeur de comptage dans le calcul CRC. Grâce à cela, une donnée constante pendant un temps résulte en des CRC avec des écarts définis. [0047] Un contrôle CRC multiple du côté récepteur, de données arrivant temporellement les unes après les autres fait en sorte qu'il y a une reconnaissance d'erreurs nettement plus élevée. Une erreur statique qui conduit par hasard à un CRC correct, serait reconnue avec une plus grande probabilité à la donnée suivante avec un nouveau calcul CRC et en raison de la valeur de comptage modifiée. Pour une troisième valeur, l'effet est renforcé de manière correspondante. [0048] Dans cc qui suit, la fonctionnalité du dispositif 200 représenté sur la figure 2 est expliquée à l'aide de la figure 3. Ainsi, l'information qui est engendrée dans le deuxième module 222 de la première unité de calculateur 201 et qui a- en fonctionnement sans erreur - la même signification que l'information qui est engendrée dans le premier module 221 de la première unité de calculateur 201, est transformée en une suite binaire de données et est assemblée en un paquet de données 302. Dans cc paquet de données 302, il y a donc les données utilitaires, et on pourrait donc parler aussi d'un paquet de données utilitaires 302. [0049] En raison de l'arrivée continue ou permanente d'informations dans le module 222, il y a une suite temporelle desdits plusieurs paquets de données 302, si bien que ceux-là peuvent être marqués par une valeur de comptage 303. Des paquets de données 302 arrivant successivement dans le temps sont alors pourvus d'une valeur de comptage 303 qui diffère à chaque fois d'un incrément. Cette valeur de comptage 303 est mise devant (non représenté) le paquet de données 302 ou y est attachée sous la forme d'une suite binaire. [0050] Ensuite, la suite de bits commune du paquet de données 302 et de la valeur de comptage 303 est soumise à un algorithme CRC, et le reste qui résulte de la division de la suite de bits commune par le polynôme générateur est mis devant (non représenté) la suite de bits commune ou y est attachée. La longueur de la suite de bits CRC 304 qui est alors à attacher, correspond au degré du polynôme générateur. La suite de bits CRC qui est attachée ici, n'est donc pas basée uniquement sur le paquet de données (utilitaires) 302 mais aussi sur la valeur de comptage 303. [0051] Lorsque le deuxième module 222 de la première unité de calculateur 201 a traité le paquet de données 302 de manière appropriée, le paquet de données ainsi élargi 302, 303, 304 est transféré au premier module 221 via la liaison de transmission de données qui existe entre les modules 221, 222. [0052] Dans le premier module 221 de la première unité de calculateur 201, le paquet de données (utilitaires) 301 provenant de là est pourvu d'une valeur de comptage 305 afin 11 de reproduire, ici aussi, l'ordre des paquets de données 301 partant du premier module. La valeur de comptage peut évidemment être disposée devant ou derrière le paquet de données 301. [0053] Le paquet de données 301 élargi par la valeur de comptage 305, provenant du premier module 221, est combiné avec le paquet de données élargi 302, 303, 304 du deuxième module 222 en le disposant derrière ou devant. Le paquet de données combiné ainsi obtenu 301, 305, 302, 303, 304 est alors envoyé, via la liaison de transmission de données 241, du premier module 221 de la première unité de calculateur 201 au premier module 231 de la deuxième unité de calculateur 202 où il est reçu et divisé. [0054] Le paquet de données (utilitaires) 301 élargi par la valeur de comptage 305 du premier module 221 de la première unité de calculateur 201 est séparé du paquet de données combiné 301, 305, 302, 303, 304 et est traité dans le premier module 231 de la deuxième unité de calculateur 202. [0055] L'autre partie, c'est-à-dire le paquet de données (utilitaires) 302 du deuxième module 222 de la première unité de calculateur 201 élargi par la valeur de comptage 303 et le code CRC 304, est alors transférée du premier module 231 de la deuxième unité de calculateur 202 au deuxième module 232 de celle-ci via la liaison de transmission de données entre les deux module 231, 232 de la deuxième unité de calculateur 202. [0056] Là, la vérification CRC est alors effectuée avec le résultat que des erreurs de transmission sont reconnues. Plus particulièrement, en cas de vérifications se succédant dans le temps, par la valeur de comptage qui varie et du fait des calculs CRC changeant par la valeur de comptage modifiée, il y a une plus grande probabilité de reconnaître une erreur statique. Ainsi, il est possible de varier, par exemple, le polynôme générateur pour le calcul CRC en fonction d'une valeur de comptage. [0057] Connaissant l'état du compteur par le bloc de données reçu en dernier, le bloc de données reçu maintenant doit être différent, en ce qui concerne la valeur de comptage, de précisément un incrément. Si cela n'est pas le cas, il y a une erreur de transmission qui n'a pas été reconnue par le CRC et des mesures appropriées peuvent être prises. [0058] Les modules des différentes unités de calculateur peuvent être identiques en ce qui concerne leur conception structurelle, mais ils peuvent aussi être différents les uns des autres pour obtenir une probabilité de dysfonctionnement améliorée. [0059] Ainsi, les modules d'une unité de calculateur 201. 202 peuvent être réalisées sous la forme d'un microcontrôleur un d'un FPGA. Il peut également être prévu que les deux modules d'une unité de calculateur 201, 202 soient différents, c'est-à-dire que, par exemple, le premier module soit un microcontrôleur et le deuxième module un FPGA ou vice versa. 12 [Revendication 1]