Brevet FR3125332A1 — publié le 20230120

L’invention porte sur un calculateur pour aéronef (200) comprenant : une partie socle (201, 301) installée de manière fixe dans l’aéronef : configurée pour être connectée à au moins un équipement de type avionique (210, 211) par un bus de données bidirectionnel (310), comprenant un support d’accueil, une partie serveur (202, 302) installée de manière amovible sur le support d’accueil de la partie socle, configurée pour échanger des données et signaux avec la partie socle à travers un connecteur (303), et configurée pour être connectée avec au moins un équipement de type non avionique (221, 222) à travers au moins un lien de communications (323, 324, 325, 314), la partie socle étant configurée pour mettre en œuvre un mécanisme d’appairage avec la partie serveur afin d’autoriser ou d’interdire la transmission de données entre la partie serveur et ledit au moins un équipement de type avionique (210, 211). Figure pour l’abrégé : Fig. 2 CALCULATEUR AMOVIBLE POUR AERONEF L’invention concerne le domaine technique de l’avionique et des opérations aériennes en général, et porte plus particulièrement sur la gestion, l’acquisition, la diffusion et la synchronisation de données relatives à un aéronef civil ou militaire. Ces données peuvent être de plusieurs ordres : des données avionique (en Anglais flight data ), qui sont les paramètres propres à l’avion à destination des enregistreurs de données de vols, et les paramètres de l’avion générés par ordinateur comme par exemple les références de positionnement inertielles (en Anglais Inertial Reference data ) ou les données du système de gestion de vol (en Anglais Flight Management System data , ou FMS data ), … ; des données de maintenance, par exemple les inscriptions du carnet de bord technique (en Anglais air craft technical logbook entries ), les logiciels téléchargeables sur le terrain (en Anglais field loadable software ), les bases de données avionique (en Anglais avionics databases ), les défaillances et alarmes de l’ordinateur de bord (en Anglais aircraft computer failures & warnings ), … ; des données opérationnelles de vol : par exemple les dossiers de vol (en Anglais flight folders ), les statuts opérationnels, les quantités de carburant, les plans de vol, … Un aéronef est un moyen de transport capable d'évoluer au sein de l'atmosphère terrestre, comme un avion, un hélicoptère ou un drone. L'aéronef traite quantité de données numériques, destinées ou non à être transmises et/ou modifiées par des équipements externes à l’aéronef, comme par exemple les données avionique, les données de maintenance et les données opérationnelles de vol décrites ci-dessus. Afin de pouvoir communiquer avec des équipements tiers, qu’ils soient extérieurs à l’aéronef (par exemple des serveurs de maintenance, des enregistreurs de données de vol) ou internes (par exemple des organiseurs électroniques de poste de pilotage, plus connus sous le nom Anglais de Electronic Flight Bag ou EFB, utilisés par le personnel naviguant pour consulter les données opérationnelles de vol), les aéronefs disposent de calculateurs réalisant des fonctions de traitement des données avionique et de passerelle entre les équipements de l’aéronef et les équipements tiers. Ces calculateurs peuvent disposer de différents types de connectivité, filaire ou non, par exemple Bluetooth, WiFi (acronyme Anglais pour Wireless Fidelity ), 4G (pour quatrième génération de standard de téléphonie mobile), liaison satellite (satcom), …. Ils peuvent jouer un rôle de point d’accès à bord de l’aéronef, par exemple WiFi, pour que le personnel navigant ait accès aux données avionique, et/ou pour que les passagers disposent d’un lien de communications leur permettant d’accéder au réseau internet. Les systèmes embarqués à bord des avions sont des systèmes fiabilisés (ou à fiabilité garantie) dont les défaillances peuvent avoir des conséquences variables. Une défaillance peut se caractériser par la perte de la fonction considérée ou par la production de données erronées, avec ou sans détection d’une erreur. Selon le niveau de criticité des conséquences redoutées, la probabilité d’occurrence des erreurs doit être maintenue inférieure à un seuil d’acceptabilité. Ainsi, plus la conséquence est critique, plus la probabilité d’occurrence acceptable est faible. Par exemple, en aéronautique, un événement catastrophique (pouvant entraîner des décès multiples) doit avoir une probabilité d’occurrence inférieure à 10 -9 par heure de vol, alors qu’un incident majeur (pouvant entraîner une réduction des marges de sécurité et des capacités opérationnelles, un inconfort ou des blessures légères) doit avoir une probabilité d’occurrence inférieure à 10 -5 par heure de vol. L’architecture du système avionique ainsi que la conception de chaque composant de l’aéronef doivent garantir cette probabilité d’occurrence. Cela implique des garanties de taux de panne de chaque équipement (pannes physiques), des développements selon des normes contraignantes garantissant la fiabilité des applications (par exemple DO-178, …) et des niveaux de vérification (couverture fonctionnelle et structurelle des tests) des logiciels suffisants. Ces exigences imposent un effort important de conception et de vérification, et imposent une limitation dans la complexité des traitements mis en œuvre. A l’inverse, certains systèmes peuvent être jugés comme ayant des conséquences tolérables, non critiques, ou même sans impact opérationnel significatif. Ce sont généralement des systèmes non-fiabilisés, ou à la fiabilité non garantie. Les exigences sur l’architecture, les composants physiques ou les traitements logiciels sont donc moindres, ce qui permet de mettre en œuvre des traitements plus complexes, au prix d’un effort de développement et de vérification réduits par rapport à un système fiabilisé. Ainsi, les équipements de communication embarqués dans un aéronef sont soumis à des contraintes règlementaires qui varient selon leur type. Les équipements avionique de pilotage installés à bord de l’aéronef doivent être certifiés par le régulateur aéronautique, qui délivre un certificat de type (en Anglais Type Certificate ), ou TC. Les équipements avionique optionnels installés à bord de l’aéronef doivent être certifiés par le régulateur aéronautique qui délivre un certificat de type supplémentaire (en Anglais Supplemental Type Certificate ), ou STC. Les équipements optionnels non-avionique non installés à bord de l’avion doivent uniquement être approuvés par le régulateur aéronautique, qui délivre une approbation opérationnelle (en Anglais Operational Approv al ), ou OA. Les calculateurs assurant le lien entre les données internes à l’aéronef et les équipements tiers sont bien entendu soumis à ces règles de certification ou d’approbation. S’agissant d’équipements installés à bord des aéronefs et ayant accès à des données avionique potentiellement critiques, les calculateurs selon l’état de l’art doivent faire l’objet d’un certificat de type (TC). Leur développement fait alors l’objet de développements complexes (assurance qualité) et leur mise à jour est longue et coûteuse. Pour répondre à cette problématique, la demanderesse a déposé la demande de brevet Européenne EP 3.546.888 A1 dans laquelle elle décrit un calculateur pour aéronef composé de deux parties : une partie socle, en Anglais Dock , reliée au système avionique, à divers systèmes de connectivité en vol et disposant d’un support d’accueil. S’agissant d’un équipement installé dans l’avion, il doit être certifié au niveau TC ou STC, une partie serveur, en Anglais Server , configurée pour pouvoir être installée et couplée à la partie socle par le support d’accueil. Le serveur dispose de ressources de traitement et de stockage, ainsi que divers systèmes de connectivité vers des équipements tiers. S’agissant d’un système portatif non installé dans l’avion et non critique, il ne doit être certifié qu’au niveau OA. L’avantage d’une telle structure de calculateur en deux parties est que la partie serveur peut être modifiée ou mise à jour pour un coût et une durée de développement conventionnelle. En effet, n’étant pas installée de manière fixe dans l’aéronef, elle n’a pas à faire l’objet d’une certification au niveau TC ou STC. La partie serveur organisant les communications avec les équipements tiers et comprenant « l’intelligence » du calculateur, c’est la partie la plus susceptible de devoir être mises à jour. A l’inverse, la partie socle installée dans l’aéronef doit être certifiée au niveau TC ou STC. Cependant, les fonctions logicielles qu’elle exécute sont bien moins susceptibles de devoir être mises à jour que celles de la partie serveur. Afin d’empêcher toute injection de données accidentelles ou malveillantes dans les systèmes certifiés et d’assurer une garantie de protection contre les risques cyber, le calculateur en deux parties décrit dans l’état de l’art dispose d’une liaison unidirectionnelle pour la réception de données depuis la partie avionique. Cette liaison unidirectionnelle permet d’éviter que des données ne soient injectées sur la partie avionique de l’aéronef par les équipements auxquels la partie serveur est reliée ou par une partie serveur modifiée dans un but malveillant, afin de garantir la sécurité des systèmes critiques de l’aéronef. La contrepartie est que les injections de données maitrisées sur la partie avionique sont impossibles. Cette solution présente d’autres défauts : elle n’est pas protégée contre les inversions non intentionnelles de serveurs, une partie serveur pouvant être installé sur une partie socle différente de l’avion à laquelle elle est destinée, pouvant engendrer des confusions sur les données avionique reçues, elle n’est pas protégée contre l’introduction de parties serveurs modifiées dans le but de transmettre de manière illégitime des données avionique, et ne permet donc pas de protéger la confidentialité des données de l’aéronef. Le calculateur pour aéronef selon l’invention a pour but de répondre à l’ensemble de ces problèmes en sécurisant le lien entre les deux parties. A cet effet, la présente invention décrit un calculateur pour aéronef configuré pour relier au moins un équipement de type non avionique avec au moins un équipement de type avionique embarqué dans l’aéronef. Le calculateur selon l’invention comprend : une partie socle configurée pour être installée de manière fixe dans l’aéronef, ladite partie socle : étant configurée pour être connectée audit au moins un équipement de type avionique, comprenant un support d’accueil, une partie serveur configurée pour être installée de manière amovible sur le support d’accueil de la partie socle, la partie socle et la partie serveur étant alors configurées pour échanger des données et signaux à travers un connecteur, la partie serveur étant configurée pour être connectée avec ledit au moins un équipement de type non avionique à travers au moins un lien de communications. Dans le calculateur selon l’invention, la partie socle est connectée avec ledit au moins un équipement de type avionique par au moins un bus de données bidirectionnel. Elle est configurée pour mettre en œuvre un mécanisme d’appairage avec la partie serveur, et pour autoriser ou interdire la transmission de données dans au moins une direction entre la partie serveur et ledit au moins un équipement de type avionique en fonction de l’état dudit mécanisme d’appairage. Avantageusement, la partie socle est l’objet d’un certificat de type (TC) ou d’un certificat supplémentaire de type (STC), et la partie amovible est l’objet d’une approbation opérationnelle (OA). Selon un mode de réalisation, la partie socle et/ou la partie serveur sont configurées pour mettre en œuvre des fonctions d’analyse et de filtrage des données transmises par ledit au moins un équipement de type avionique vers ledit au moins un équipement de type non avionique. Selon un mode de réalisation complémentaire, la partie socle et/ou la partie serveur sont configurées pour mettre en œuvre des fonctions d’analyse et de filtrage des données transmises audit au moins un équipement de type avionique par ledit au moins un équipement de type non avionique. Selon un mode de réalisation, la partie serveur comprend des moyens de calculs permettant de mettre en œuvre le mécanisme d’appairage. Avantageusement, la partie socle est configurée pour fournir un ou plusieurs liens d’alimentation à la partie serveur. Avantageusement, la partie socle comprend des moyens de coupure d’un ou plusieurs des liens de communication de la partie serveur. Avantageusement, la partie socle est configurée pour être connectée à un système de connectivité en vol, et la partie serveur est configurée pour accéder audit système de connectivité en vol à travers la partie socle. Selon un mode de réalisation, la partie serveur est configurée pour mettre en œuvre un mécanisme d’appairage avec au moins un équipement de type non avionique, et pour autoriser ou interdire la transmission de données avec ledit équipement en fonction de l’état dudit mécanisme d’appairage. L’invention sera mieux comprise et d’autres caractéristiques, détails et avantages apparaîtront mieux à la lecture de la description qui suit, donnée à titre non limitatif, et grâce aux figures annexées, données à titre d’exemple. La illustre l'environnement technique global de l'invention. La représente plus précisément un dispositif selon un mode de réalisation de l’invention et ses interactions avec les équipements avionique et non avionique. La représente l’architecture fonctionnelle d’un calculateur pour aéronef selon un mode de réalisation de l’invention. Des références identiques peuvent être utilisées dans des figures différentes lorsqu’elles désignent des éléments identiques ou comparables. Calculateur pour aéronef (200) configuré pour relier au moins un équipement de type non avionique (221, 222) avec au moins un équipement de type avionique (210, 211) embarqué dans l’aéronef, ledit calculateur comprenant : une partie socle (201, 301) configurée pour être installée de manière fixe dans l’aéronef, ladite partie socle : étant configurée pour être connectée audit au moins un équipement de type avionique (210, 211), comprenant un support d’accueil, une partie serveur (202, 302) configurée pour être installée de manière amovible sur le support d’accueil de la partie socle, la partie socle et la partie serveur étant alors configurées pour échanger des données et signaux à travers un connecteur (303), la partie serveur étant configurée pour être connectée avec ledit au moins un équipement de type non avionique (221, 222) à travers au moins un lien de communications (323, 324, 325, 314), le calculateur étant caractérisée en ce que la partie socle est connectée avec ledit au moins un équipement de type avionique (210, 211) par au moins un bus de données bidirectionnel (310), et en ce qu’elle est configurée pour mettre en œuvre un mécanisme d’appairage avec la partie serveur, et pour autoriser ou interdire la transmission de données dans au moins une direction entre la partie serveur et ledit au moins un équipement de type avionique (210, 211) en fonction de l’état dudit mécanisme d’appairage. Calculateur pour aéronef selon la revendication 1, dans lequel la partie socle est l’objet d’un certificat de type ou d’un certificat supplémentaire de type, et où la partie amovible est l’objet d’une approbation opérationnelle. Calculateur pour aéronef selon l’une des revendications 1 à 2, dans lequel la partie socle et/ou la partie serveur sont configurées pour mettre en œuvre des fonctions d’analyse et de filtrage des données transmises par ledit au moins un équipement de type avionique (210, 211) vers ledit au moins un équipement de type non avionique (221, 222). Calculateur pour aéronef selon l’une des revendications 1 à 3, dans lequel la partie socle et/ou la partie serveur sont configurées pour mettre en œuvre des fonctions d’analyse et de filtrage des données transmises audit au moins un équipement de type avionique (210, 211) par ledit au moins un équipement de type non avionique (221, 222). Calculateur pour aéronef selon l’une des revendications 1 à 4, dans lequel la partie serveur comprend des moyens de calculs (312, 313) permettant de mettre en œuvre le mécanisme d’appairage. Calculateur pour aéronef selon l’une des revendications 1 à 5, dans lequel la partie socle est configurée pour fournir un ou plusieurs liens d’alimentation (301) à la partie serveur. Calculateur pour aéronef selon l’une des revendications 1 à 6, dans lequel la partie socle comprend des moyens de coupure (315, 316) d’un ou plusieurs des liens de communication (323, 324, 325) de la partie serveur. Calculateur pour aéronef selon l’une des revendications 1 à 7, dans lequel la partie socle est configurée pour être connectée à un système de connectivité en vol (212, 314), et la partie serveur est configurée pour accéder audit système de connectivité en vol à travers la partie socle. Calculateur pour aéronef selon l’une des revendications 1 à 8, dans lequel la partie serveur est configurée pour mettre en œuvre un mécanisme d’appairage avec au moins un équipement de type non avionique (221, 222), et pour autoriser ou interdire la transmission de données avec ledit équipement en fonction de l’état dudit mécanisme d’appairage.