Brevet FR3133259A1 — publié le 20230908

TITRE : Système d’affichage d’informations critiques et non-critiques Un aspect de l’invention concerne un système d’affichage d’informations critiques et non critiques sur un écran, comprenant un circuit électronique de calcul et un circuit électronique de surveillance, le circuit électronique de calcul étant configuré pour : traiter les informations critiques à afficher, construire une image à partir des informations non critiques et y incorporer les informations critiques à afficher ; le circuit de surveillance étant configuré pour déterminer des informations critiques attendues pour l’affichage, le circuit de calcul est configuré pour transmettre au circuit de surveillance au moins un indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image, le circuit électronique de surveillance est configuré pour : extraire de l’image les informations critiques reçues à partir de l’indicateur, comparer le résultat d’une fonction de hachage appliquée aux informations critiques attendues et aux informations critiques reçues. Figure à publier avec l’abrégé : Figure 3 Système d’affichage d’informations critiques et non-critiques DOMAINE TECHNIQUE DE L’INVENTION Le domaine technique de l’invention est celui du contrôle d’intégrité de génération d’images, plus particulièrement pour un module d’affichage critique, par exemple dans les cockpits « tout écran » aussi appelés « Glass Cockpit » selon la dénomination anglo-saxonne. La présente invention concerne un système d’affichage d’informations critiques et non-critiques et en particulier d’images comprenant de telles informations pour leur affichage dans un cockpit d’aéronef. ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION Afin d’améliorer les cockpits d’appareils volants, tels que ceux des hélicoptères, avions, UAV (« unmanned aircraft vehicle » pour « véhicule aérien sans pilote »), il est envisagé de remplacer les équipements discrets par des écrans pour afficher certains paramètres de navigation, comme l’altitude, la vitesse, etc. Cette évolution se retrouve couramment sous le nom de « Glass Cockpit », pour « cockpit tout écran ». Les calculateurs utilisés pour générer l’image des « Glass Cockpit » doivent assurer un très haut niveau d’intégrité, afin de ne pas compromettre la mission. Les écrans sont donc reliés à des unités de calculs, tels que des processeurs centraux « CPU » (« Central Processing Unit »), des processeurs graphiques « GPU » (« Graphical Processing Unit ») ou des « FPGA » (« Field Programmable Gate Array ») qui sont chargés de récupérer les informations à afficher et de les transformer en éléments graphiques en garantissant l’intégrité des éléments affichés. Pour cela, une couche critique avec une composante de transparence comprend les informations numériques, symboliques, affichées en surimpression dans le « Primary Flight Display » (pour « Affichage Primaire de Vol »), en sus d’une image de fond, constituée d’informations chromatiques de couleur, par exemple en système Rouge Vert Bleu aussi appelée couche « R G B », ou en systèmes luminance/chrominance par exemple YUV, YCrCb ou encore YIQ. L’intégrité des informations contenues dans la couche critique avec une composante de transparence est critique pour la mission. L’information critique apparait au-dessus d’autres informations graphiques de l’image et une couche alpha permet de faire un masque pour l’image qui se trouve dessous par simulation de transparence, ou « Alpha blending ». La technique la plus répandue pour assurer cette intégrité est la suivante : les données sont recopiées en dehors de l’écran par un dispositif appelé COM pour « command » (« commande » en français), afin d’être analysées par un dispositif appelé MON pour « monitoring » (« surveillance » en français). Les dispositifs COM/MON sont classiquement des calculateurs. Ces calculateurs graphiques sont encombrants, lourds et consomment de l’énergie. Ils sont aussi dits « non-optimisés SWAP » (pour « size, weight, and power »). Des projets, et notamment une solution proposée précédemment par le demandeur, ont pour but de centraliser le calculateur de vol s’interfaçant à l’ensemble des équipements de l’aéronef et la génération graphique du « Glass Cockpit ». Cela permet d’y connecter directement un affichage passif (« dumb display » en anglais) et non un calculateur graphique. Dans de tels projets, les unités de calcul (CPU/GPU/FPGA) sont réduites au minimum tout en garantissant le plus haut niveau d’intégrité des données affichées dans le calculateur principal. Plutôt que d’utiliser un couple processeur central CPU et calculateur graphique GPU pour la génération d’image, surveillé par un deuxième calculateur graphique GPU ou par un autre couple CPU et GPU pour vérifier que l’image produite est conforme à l’image attendue (une technique habituelle présente dans les calculateurs graphiques GPU), la puissance des processeurs centraux CPU modernes est utilisée afin de générer les paramètres de navigation critiques, avec l’aide de FPGA(s). Les processeurs centraux « CPU » peuvent alors : soit émuler le fonctionnement d’un processeur graphique « GPU », soit utiliser des images précalculées, aussi appelées « sprites », une technique utilisée quand les processeurs graphiques « GPU » n’existaient pas, soit s’appuyer sur des accélérateurs vidéo en FPGA. Les portions d’images résultantes, dont l’arrière-plan est transparent, sont par exemple assemblées par le FPGA, avant émission du flux vidéo vers les écrans passifs. Le contrôle d’intégrité de la génération vidéo peut être fait à plusieurs niveaux : Soit en superposant les portions d’images d’un processeur central CPU de génération (COM) et d’un processeur central CPU de surveillance (MON) avant assemblage dans le FPGA. Le fond transparent sert alors de masque. Seuls les pixels illuminés sont autorisés à être affichés. Soit, après assemblage de l’image complète par le processeur central CPU de génération (COM), une extraction de pixels selon le masque généré par le processeur central CPU de surveillance (MON) doit aboutir à ce même masque. De plus, ces images étant générées sur fond transparent, le FPGA peut les ajouter en surimpression (« overlay » en anglais) sur un flux vidéo rentrant en arrière-plan si nécessaire. Cette architecture peut utiliser des FPGAs déjà présents dans les calculateurs de vol, diminuant ainsi la taille, le poids et la consommation du système complet. Un exemple de solution de l’art antérieur est représenté à la . Un processeur de génération COM 110 est connecté à un processeur de surveillance MON 120. Le processeur de génération COM 110 génère un signal image qui est transmis à un écran passif via la sortie 104.1 et la sortie 103. La sortie 104.1 est aussi reliée à l’entrée 105.1 du processeur de surveillance MON 120, ce afin de transmettre le signal image du processeur de génération COM 110 au processeur de surveillance MON 120. Un module 112, par exemple logiciel, permet de générer une couche critique avec une composante de transparence à partir d’informations critiques obtenues par le module 111. Cette couche critique est transmise au module de fusion 115 et au processeur de surveillance 120. Le processeur de surveillance MON 120 applique alors la couche critique reçue comme un masque au signal image reçu par l’entrée 105.1 pour obtenir un signal résultat. Le module 122 vérifie à partir du signal résultat que la couche critique reçue par l’entrée 105.2 se retrouve bien dans le signal image reçu sur l’entrée 105.1. Le signal résultat doit correspondre à la couche critique reçue par l’entrée 105.2, les autres informations étant masquées. Cela n’est qu’un mode de réalisation de la solution, et représente l’option 1 mentionnée ci-après. La solution proposée par le demandeur précédemment comprend notamment trois options de réalisation : Option 1 : la couche critique est calculée de manière unique par le processeur de génération COM 110 puis transmise au processeur de surveillance MON 120, et il est vérifié par le processeur de surveillance MON 120 qu’elle est bien restituée à l’affichage en l’utilisant comme masque au module 121 sur le signal image reçu du processeur de génération COM 110, Option 2 : l’information critique numérique est calculée de manière unique par le processeur de génération COM 110 puis transmise au processeur de surveillance MON 120, et il est vérifié par le processeur de surveillance MON 120 qu’elle est bien restituée à l’affichage en générant une couche critique (non représenté) à partir de cette information critique et en l’utilisant comme masque au module 121 sur le signal image reçu du processeur de génération COM 110, Option 3 : la chaîne complète est mise en œuvre par le processeur de génération COM et par le processeur de surveillance MON, y compris le calcul des informations numériques. L’option 1 est la plus légère en termes de calculs, mais ne permet d’identifier que les erreurs de fusion des couches critique et colorimétrique. L’option 2 couvre les erreurs de génération de la couche critique en plus de l’option 1, mais ne permet pas d’identifier d’erreur liée au calcul d’informations critiques. L’option 3 couvre la totalité de la chaine de traitement, c’est-à-dire qu’elle permet d’identifier les erreurs de fusion des couches critique et RGB, les erreurs de génération de la couche critique , et les erreurs liées au calcul d’informations critiques. Cette solution est en revanche plus gourmande en ressources FPGA ou en ressources logicielles sur le processeur de surveillance MON. De plus, dans toutes les options, l’utilisation de la couche critique comme masque impose la génération de ce masque, ce qui est un travail lourd et gourmand en ressources. En outre, la vérification du signal résultat obtenu après l’utilisation du masque impose une comparaison pixel par pixel du signal résultat obtenu au signal image reçu par le processeur de surveillance MON 120, ce qui nécessite d’identifier les pixels à comparer, et d’utiliser beaucoup de ressources matérielles et/ou un temps de traitement long. Il existe donc un besoin de pouvoir assurer l’intégrité de données générées par au moins deux processeurs centraux CPU, utilisant moins de ressources que l’art antérieur tout en permettant de détecter notamment les erreurs de fusion des couches critique et colorimétrique, les erreurs de génération de la couche critique, et les erreurs liées au calcul d’informations critiques. L’invention offre une solution aux problèmes évoqués précédemment, en permettant un haut niveau d’intégrité des données affichées par un écran, ce haut niveau d’intégrité étant obtenu par une consommation de ressources matérielles et un temps moindre que dans l’art antérieur, et sans avoir besoin d'échanges d’information complémentaire entre les deux processeurs COM et MON. Un aspect de l’invention concerne ainsi un système d’affichage d’informations critiques et non critiques sur un écran, le système comprenant au moins un circuit électronique de commande et un circuit électronique de surveillance, le circuit électronique de commande étant configuré pour : traiter les informations critiques à afficher, construire au moins une image à partir des informations non critiques et y incorporer les informations critiques à afficher afin de former, sur une première sortie du circuit électronique de commande, un signal image destiné à être transmis à l’écran, l’image construite par le circuit électronique de commande comprenant une pluralité de pixels, chaque pixel restituant au moins une partie d’information critique ou non critique ; le circuit électronique de surveillance ayant une entrée reliée à ladite première sortie et étant configuré pour déterminer des informations critiques attendues pour l’affichage et vérifier si le signal image contient des informations critiques reçues correspondant aux informations critiques attendues, le circuit électronique de commande étant configuré pour transmettre au circuit électronique de surveillance au moins un indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, pour vérifier si le signal image contient des informations correspondant aux informations critiques attendues, le circuit électronique de surveillance est configuré pour : extraire de l’image construite les informations critiques reçues à partir de l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, comparer un premier résultat d’une fonction de hachage appliquée aux informations critiques attendues et un deuxième résultat de la fonction de hachage appliquée aux informations critiques reçues. Grâce à l’invention, il est possible de vérifier, par un circuit électronique de surveillance, l’intégrité d’images générées par un circuit électronique de commande, plus rapidement que dans l’art antérieur et plus simplement. En effet, l’invention utilise une fonction de hachage pour comparer les données critiques reçues aux données critiques attendues, et ne nécessite donc pas de comparer les pixels un à un, ni de synchroniser les signaux, ni de prévoir la mémoire pour une resynchronisation, à l’exception de devoir repérer au moins le numéro de l’image pour comparer les images entre elles. Utiliser une fonction de hachage permet ainsi de comparer les données critiques reçues aux données critiques attendues plus rapidement et en consommant moins de ressources matérielles que dans l’art antérieur. En outre, l’invention comprend un indicateur d’état critique ou non critique de chaque pixel de l’image générée, transmis par le circuit électronique de commande au circuit électronique de surveillance, permettant au circuit électronique de surveillance d’extraire les informations critiques de l’image reçue plus rapidement et en consommant moins de ressources matérielles que dans l’art antérieur. L’invention trouve une application particulièrement pertinente dans les systèmes aéronautiques, pour répondre au besoin d’affichage d’informations critiques au milieu d’informations non critiques et inconnues et/ou aléatoires, le tout sur un seul flux vidéo, afin de pouvoir garantir l’intégrité de la partie du flux vidéo critique. Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le système selon un aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles : le circuit électronique de commande est configuré pour transmettre l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite en incorporant dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel par stéganographie et en transmettant l’image construite au circuit électronique de surveillance via la sortie du circuit électronique de commande. le circuit électronique de commande incorpore dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel en donnant une valeur prédéterminée à au moins un bit du pixel d’une couche de colorimétrie de l’image construite, le bit étant choisi parmi : un bit de poids faible, un bit de parité, un bit de signe. la fonction de hachage est choisie parmi : SHA-1, MD5 ou une fonction de contrôle de redondance cyclique CRC. le circuit électronique de commande a au moins une entrée reliée à une source de données et le circuit électronique de surveillance a une entrée reliée à ladite source de données, les informations critiques à afficher et les informations critiques attendues étant obtenues à partir de la même source de données. le circuit électronique de commande incorpore les informations critiques à afficher dans une première couche de détail critique fusionnée avec au moins une couche de détail d’arrière-plan pour former l’image à afficher. la fonction de hachage est appliquée par le circuit électronique de commande à la première couche de détail critique pour obtenir le deuxième résultat de hachage. le circuit électronique de surveillance élabore une deuxième couche de détail critique dans laquelle les informations critiques attendues sont incorporées, les informations critiques attendues étant obtenues de la source de données, et la fonction de hachage est appliquée par le circuit électronique de surveillance à la deuxième couche de détail critique pour obtenir le premier résultat de hachage. le circuit électronique de surveillance élabore une deuxième couche de détail critique dans laquelle les informations critiques attendues sont incorporées, les informations critiques attendues étant reçues du circuit électronique de commande et la fonction de hachage est appliquée par le circuit électronique de surveillance à la deuxième couche de détail critique pour obtenir le premier résultat de hachage. la première couche de détail critique est transmise au circuit électronique de surveillance et la fonction de hachage est appliquée par le circuit électronique de surveillance à la première couche de détail critique pour obtenir le premier résultat de hachage. Un autre aspect de l’invention porte sur un aéronef comprenant le système d’affichage selon l’invention. L’invention est particulièrement intéressante pour tout système dont le besoin porte sur un haut niveau d’intégrité d’affichage ayant des ressources limitées. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent. BREVE DESCRIPTION DES FIGURES Les figures sont présentées à titre indicatif et nullement limitatif de l’invention. La montre une représentation schématique d’un système d’affichage de l’art antérieur, La montre une représentation schématique partielle de dessus d’un aéronef comprenant un système d’affichage selon l’invention, La montre une représentation schématique d’un premier mode de réalisation d’un système d’affichage selon l’invention, La montre une représentation schématique d’un deuxième mode de réalisation d’un système d’affichage selon l’invention, La montre une représentation schématique d’un troisième mode de réalisation d’un système d’affichage selon l’invention. Système d’affichage d’informations critiques et non critiques sur un écran (9), le système comprenant au moins un circuit électronique de commande (110) et un circuit électronique de surveillance (120), le circuit électronique de commande (110) étant configuré pour : traiter les informations critiques à afficher, construire au moins une image à partir des informations non critiques et y incorporer les informations critiques à afficher afin de former, sur une première sortie (104.1) du circuit électronique de commande (110), un signal image destiné à être transmis à l’écran, l’image construite par le circuit électronique de commande (110) comprenant une pluralité de pixels, chaque pixel restituant au moins une partie d’information critique ou non critique ; le circuit électronique de surveillance (120) ayant une entrée (105.1) reliée à ladite première sortie (104.1) et étant configuré pour déterminer des informations critiques attendues pour l’affichage et vérifier si le signal image contient des informations critiques reçues correspondant aux informations critiques attendues, le système étant caractérisé en ce que : le circuit électronique de commande (110) est configuré pour transmettre au circuit électronique de surveillance (120) au moins un indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, pour vérifier si le signal image contient des informations correspondant aux informations critiques attendues, le circuit électronique de surveillance (120) est configuré pour : extraire de l’image construite les informations critiques reçues à partir de l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, comparer un premier résultat d’une fonction de hachage appliquée aux informations critiques attendues et un deuxième résultat de la fonction de hachage appliquée aux informations critiques reçues. Système selon la revendication 1, dans lequel le circuit électronique de commande (110) est configuré pour transmettre l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite en incorporant dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel par stéganographie et en transmettant l’image construite au circuit électronique de surveillance (120) via la sortie (104.1) du circuit électronique de commande (110). Système selon la revendication 2, dans lequel le circuit électronique de commande (110) incorpore dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel en donnant une valeur prédéterminée à au moins un bit du pixel d’une couche de colorimétrie de l’image construite, le bit étant choisi parmi : un bit de poids faible, un bit de parité, un bit de signe. Système selon l’une des revendications précédentes, dans lequel la fonction de hachage est choisie parmi : SHA-1, MD5 ou une fonction de contrôle de redondance cyclique CRC. Système selon l’une des revendications précédentes, dans lequel le circuit électronique de commande (110) a au moins une entrée reliée à une source de données (102.1, 102.2, 102.3, 102.4) et le circuit électronique de surveillance (120) a une entrée reliée à ladite source de données (102.1, 102.2, 102.3, 102.4), les informations critiques à afficher et les informations critiques attendues étant obtenues à partir de la même source de données (102.1, 102.2, 102.3, 102.4). Système selon l’une des revendications précédentes, dans lequel le circuit électronique de commande (110) incorpore les informations critiques à afficher dans une première couche de détail critique fusionnée avec au moins une couche de détail d’arrière-plan pour former l’image à afficher. Système selon la revendication 6 dans lequel la fonction de hachage est appliquée par le circuit électronique de commande (110) à la première couche de détail critique pour obtenir le deuxième résultat de hachage. Système selon les revendications 5 et 6, dans lequel le circuit électronique de surveillance (120) élabore une deuxième couche de détail critique dans laquelle les informations critiques attendues sont incorporées, les informations critiques attendues étant obtenues de la source de données (102.1, 102.2, 102.3, 102.4), et la fonction de hachage est appliquée par le circuit électronique de surveillance (120) à la deuxième couche de détail critique pour obtenir le premier résultat de hachage. Système selon la revendication 6, dans lequel le circuit électronique de surveillance (120) élabore une deuxième couche de détail critique dans laquelle les informations critiques attendues sont incorporées, les informations critiques attendues étant reçues du circuit électronique de commande (110) et la fonction de hachage est appliquée par le circuit électronique de surveillance (120) à la deuxième couche de détail critique pour obtenir le premier résultat de hachage. Système selon la revendication 6, dans lequel la première couche de détail critique est transmise au circuit électronique de surveillance (120) et la fonction de hachage est appliquée par le circuit électronique de surveillance (120) à la première couche de détail critique pour obtenir le premier résultat de hachage. Aéronef équipé d’au moins un écran (9) auquel est relié la sortie (103) d’un système d’affichage (100) selon l’une quelconque des revendications précédentes.