Brevet FR3141537A1 — publié le 20240503

Un aspect de l’invention concerne un procédé (3) de communication d’un premier processeur (12) implémentant une fonction de maintenance d’un deuxième processeur (11), le deuxième processeur (11) implémentant une fonction de contrôle d’un moteur, le premier processeur (12) et le deuxième processeur (11) étant isolés en communication par un FPGA (21), le FPGA (21) comprenant : une première liaison (L1) bidirectionnelle avec le deuxième processeur (11), une deuxième liaison (L2) unidirectionnelle vers le premier processeur (12), une troisième liaison (L3) unidirectionnelle depuis le premier processeur (12), le procédé (3) comprenant : Réception (31), par le FPGA (21), d’une trame envoyée par le premier processeur (12), Evaluation (33), par le FPGA (21), d’un paramètre prédéfini pour obtenir une valeur du paramètre prédéfini dépendant de la trame reçue, Accès (34), par le deuxième processeur (11), à la valeur du paramètre prédéfini, via le FPGA (21). Figure à publier avec l’abrégé : Figure 3 Procédé de communication d’une indication de fonctionnement correct entre deux processeur isolés DOMAINE TECHNIQUE DE L’INVENTION Le domaine technique de l’invention est celui de la cybersécurité, et en particulier la communication sécurisée entre dispositifs embarqués en aéronautique. La présente invention concerne un procédé de communication entre deux processeurs isolés et en particulier un procédé de communication dans lequel l’un des deux processeurs isolés pour des raisons de cybersécurité a connaissance d’un état de l’autre processeur malgré leur isolation. ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION Classiquement, dans les aéronefs, un moteur est contrôlé par un calculateur nommé « FADEC », de l’anglais « Full Authority Digital Engine Control » pour « Contrôle numérique de moteur à pleine autorité » en français. Le FADEC s’interface entre le cockpit de l’aéronef et un moteur de l’aéronef, assure la protection électronique du moteur et réduit la charge du pilote. Il permet de surveiller, protéger et de contrôler le système propulsif de l’aéronef en temps réel. Un FADEC est représenté à la . Le FADEC 1 comprend au moins deux processeurs : un premier processeur 11 exerçant une fonction de contrôle FC du moteur, et un deuxième processeur 12 exerçant une fonction de maintenance FM. Le processeur de maintenance 12 permet de maintenir, par exemple de corriger ou mettre à jour, la fonction de contrôle FC et donc le processeur de contrôle 11. Des données issues de capteurs du moteur peuvent être par exemple envoyées par le processeur de contrôle 11 au processeur de maintenance 12. Le processeur de maintenance 12 stocke alors les données reçues pour analyse après le vol de l’aéronef, par exemple par un opérateur de maintenance. Dans un tel cas, le processeur de maintenance 12 doit aussi faire savoir au processeur de contrôle 11 que le processeur de maintenance 12 est prêt à recevoir des données à stocker. Avec l'arrivée de nouvelles normes de cybersécurité applicables aux équipements aéronautiques, la fonction de maintenance FM a également le rôle de barrière de cybersécurité, isolant la fonction de contrôle FC, qui est une fonction critique, du monde extérieur. En effet, un acteur malveillant pourrait vouloir prendre le contrôle de la fonction de contrôle FC via la fonction de maintenance FM. La fonction de barrière de la fonction de maintenance FM permet de pallier ce problème. Cette fonction de barrière implique qu’une communication du processeur de maintenance 12 vers le processeur de contrôle 11 est coupée en mode opérationnel, c’est-à-dire lorsque le processeur de contrôle 11 contrôle effectivement le moteur. La communication depuis le processeur de contrôle 11 vers le processeur de maintenance 12 doit cependant être conservée pour pouvoir enregistrer en continu les paramètres de vol. Ces conditions sont respectées grâce à l’ajout d’un FPGA. Un FPGA, de l’anglais « Field-programmable gate array » pour « réseaux logiques programmables » en français, est un circuit électronique programmable simple. Le FPGA, comme représenté à la , est un intermédiaire entre le processeur de contrôle 11 et le processeur de maintenance 12. Les processeurs 11 et 12 et le FPGA sont reliés par des liaisons L1 à L3, qui sont par exemple, et sans s’y limiter, des liaisons de type ethernet, CAN, UART, SPI, I2C …, comme bien connu de l’homme du métier. Les liaisons L1 à L3 pourront aussi être appelées « liens ». La montre un mode de réalisation du FADEC en mode maintenance. La montre un mode de réalisation du FADEC en mode opérationnel. En mode opérationnel, la coupure du lien L3 permet d’empêcher un acteur malveillant de contrôler la fonction de contrôle FC du processeur de contrôle 11 via la fonction de maintenance FM du processeur de maintenance 12. La coupure est une coupure logicielle, c’est-à-dire que, via le lien L1, le processeur 11 n’a pas accès aux données envoyées par le processeur 12 via le lien L3. Le lien L3 peut par exemple être fonctionnel, mais le FPGA peut alors ne pas écouter le lien et donc ne pas lire les données reçues via le lien L3. En mode opérationnel, le lien L2 est fonctionnel, pour pouvoir indiquer au processeur de maintenance 12 que la fonction de contrôle 11 mise en œuvre par le processeur de contrôle 11 fonctionne de manière correcte. La coupure de la communication L3 depuis le processeur de maintenance 12 vers le processeur de contrôle 11 a une conséquence indésirable pour le processeur de contrôle 11 : en mode opérationnel, le processeur de contrôle 11 ne sait pas si la fonction de maintenance FM mise en œuvre par le processeur de maintenance 12 fonctionne de manière correcte. Une solution apportée dans l’art antérieur est d’ajouter un lien L4 de communication directement entre le processeur de contrôle 11 et le processeur de maintenance 12. Ce lien L4 est un lien permettant de ne faire transiter que des discrets prédéfinis, et seulement dans un sens : du processeur de maintenance 12 vers le processeur de contrôle 11. Ce lien L4 comprend par exemple un fil électrique par discret transmis, les discrets étant alors interprétés par la fonction de contrôle FC les recevant. Ces discrets prédéfinis, aussi appelés témoins de vie TV, peuvent par exemple indiquer l’état du processeur de maintenance 12. Les deux processeurs 11 et 12 sont alors toujours isolés du point de vue de la cybersécurité, car il est considéré que l’envoi de discrets erronés ou malveillants ou l’envoi de discrets prédéfinis ne perturbe pas la fonction de contrôle FC du processeur de contrôle 11. Cette solution n’est pas satisfaisante en ce qu’elle nécessite une architecture différente et des composants supplémentaires, et une programmation particulière de la fonction de contrôle FC pour apprendre à gérer ces témoins de vie TV. Cela pénalise alors la fiabilité et le volume du FADEC. Par ailleurs, cette solution est peu robuste aux pannes simples. En effet, une défaillance de la fonction de maintenance FM peut conduire, combiné avec du bruit électrique, à un comportement similaire à un cas sans panne. La panne ne sera alors pas détectée par la fonction de contrôle FC. Il serait possible d’améliorer la détection, en utilisant un rapport cyclique et/ou une fréquence de changement du discret précise, mais cela nécessite l’implémentation d’une fonction de détection plus complexe. Il existe donc un besoin dans un FADEC, pour la fonction de contrôle, d’avoir accès à une information concernant l’état de la fonction de maintenance en mode opérationnel sans ajout de composants spécifiques à la transmission de cette information. L’invention offre une solution aux problèmes évoqués précédemment, en permettant à la fonction de contrôle d’un FADEC d’avoir accès à une information fiable concernant l’état de la fonction de maintenance sans ajout de composants spécifiques à la transmission de cette information. Un aspect de l’invention concerne un procédé de communication d’une indication de fonctionnement correct par un premier processeur à un deuxième processeur, le premier processeur implémentant une fonction de maintenance du deuxième processeur, le deuxième processeur implémentant une fonction de contrôle d’un moteur, le premier processeur et le deuxième processeur étant isolés en communication par un FPGA, le FPGA comprenant : une première liaison de communication bidirectionnelle avec le deuxième processeur, une deuxième liaison de communication unidirectionnelle depuis le FPGA vers le premier processeur, une troisième liaison de communication unidirectionnelle depuis le premier processeur vers le FPGA, le procédé comprenant au moins les étapes de : Réception, par le FPGA, via la troisième liaison, d’au moins une trame envoyée par le premier processeur, Evaluation, par le FPGA, d’un paramètre prédéfini pour obtenir une valeur du paramètre prédéfini, la valeur du paramètre prédéfini dépendant de la trame reçue, accès, par le deuxième processeur, via la première liaison, à la valeur du paramètre prédéfini, via le FPGA. Grâce à l’invention, il est possible, pour un processeur implémentant une fonction de contrôle d’un moteur, de connaître l’état d’un processeur de maintenance implémentant une fonction de maintenance. L’invention permet au processeur de contrôle d’avoir l’état du processeur de maintenance tout en maintenant la liaison entre les deux processeurs coupée par le FPGA qui les isole en communication. On entend par « deux processeurs isolés en communication par le FPGA » le fait que chaque communication de l’un des deux processeurs destinée à l’autre des deux processeurs est forcément reçue par le FPGA puis transmise par le FPGA au processeur de destination en fonction d’une politique de communication. Grâce à cette isolation, en mode opérationnel, le processeur de maintenance ne peut pas transmettre de communication au processeur de contrôle car le FPGA est configuré pour ne pas transmettre les communications dans ce sens. L’invention, en ne transmettant pas les communications du processeur de maintenance destinées au processeur de contrôle, permet de maintenir cette isolation, nécessaire pour garantir un niveau de sécurité élevé. En transmettant un paramètre dépendant des communications reçues, l’invention permet de ne pas transmettre les communications reçues, donc de maintenir l’isolation, tout en informant le processeur de contrôle de l’état du processeur de maintenance, et ce sans architecture supplémentaire par rapport au système déjà existant. Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le procédé selon un aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles : le FPGA est configuré pour implémenter un mode opérationnel dans lequel les trames reçues via la troisième liaison sont supprimées par le FPGA après l’étape d’évaluation, et un mode maintenance dans lequel les trames reçues via la troisième liaison sont stockées par le FPGA après l’étape de réception, le procédé étant mis en œuvre en mode opérationnel. le paramètre est un compteur de nombre de trames reçues, le compteur étant incrémenté à chaque nouvelle réception de trame. le procédé comprend en outre, avant l’étape d’évaluation, une étape de vérification, par le FPGA, de l’intégrité de chaque trame reçue via la troisième liaison, l’étape d’évaluation n’étant réalisée, pour chaque trame reçue, que si la trame reçue est intègre. l’étape de vérification d’intégrité comprend l’évaluation d’un contrôle de redondance cyclique compris dans la trame ou d’une somme de contrôle comprise dans la trame. le moteur contrôlé par la fonction de contrôle est un moteur d’aéronef. Un autre aspect de l’invention concerne un système configuré pour mettre en œuvre le procédé selon l’invention, le système comprenant : un moteur d’aéronef, un premier processeur un deuxième processeur, un FPGA comprenant : une première liaison de communication bidirectionnelle avec le deuxième processeur, une deuxième liaison de communication unidirectionnelle depuis le FPGA vers le premier processeur, une troisième liaison de communication unidirectionnelle depuis le premier processeur vers le FPGA, le premier processeur implémentant une fonction de maintenance du deuxième processeur, le deuxième processeur implémentant une fonction de contrôle du moteur d’aéronef, le premier processeur et le deuxième processeur étant isolés en communication par le FPGA. Un autre aspect de l’invention concerne un produit programme d'ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé selon l’invention. Un autre aspect de l’invention concerne un support d'enregistrement lisible par ordinateur comprenant des instructions qui, lorsqu'elles sont exécutées par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé selon l’invention. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent. BREVE DESCRIPTION DES FIGURES Les figures sont présentées à titre indicatif et nullement limitatif de l’invention. La montre une représentation schématique d’un système de l’état de l’art en mode maintenance. La montre une représentation schématique d’un système de l’état de l’art en mode opérationnel. La montre une représentation schématique d’un système mettant en œuvre le procédé selon l’invention. La montre une représentation schématique du procédé selon l’invention. DESCRIPTION DETAILLEE Sauf précision contraire, un même élément apparaissant sur des figures différentes présente une référence unique. La montre une représentation schématique d’un système selon l’invention. Le système 2 selon l’invention comprend un premier processeur 12 et un deuxième processeur 11. Le premier processeur 12 implémente une fonction de maintenance du deuxième processeur 11. Il sera ainsi appelé « processeur de maintenance 12 ». Le deuxième processeur 11 implémente une fonction de contrôle d’un moteur. Il sera ainsi appelé « processeur de contrôle 11 ». Le moteur contrôlé est par exemple un moteur d’aéronef. Le système 2 est alors embarqué dans l’aéronef comprenant le moteur d’aéronef. Un processeur implémente une fonction lorsqu’il exécute des instructions stockées par une mémoire, les instructions conduisant le processeur à mettre en œuvre des étapes de procédé correspondant à la fonction à implémenter. Le processeur de contrôle 11 et le processeur de maintenance 12 sont séparés par un FPGA 21, qui isole les deux processeurs 11 et 12 en communication, c’est-à-dire que les deux processeurs 11 et 12 ne peuvent communiquer que via le FPGA 21. Le FPGA 21 permet aux deux processeurs 11 et 12 de communiquer via les liaisons de communication L1 à L3, comme dans l’art antérieur. Le FPGA 21 est alors configuré pour transmettre, ou non, les trames d’un processeur à destination de l’autre processeur, réalisant ainsi la fonction d’isolation des processeurs 11 et 12 en communication. Le système 2 comprend : une première liaison de communication bidirectionnelle L1 entre le FPGA 21 et le processeur de contrôle 11, une deuxième liaison de communication unidirectionnelle L2 depuis le FPGA 21 vers le processeur de maintenance 12, une troisième liaison de communication unidirectionnelle L3 depuis le processeur de maintenance 12 vers le FPGA 21. Le FPGA 21 comprend une fonction de réception de données Rx via la troisième liaison L3 et une fonction de transmissions de données Tx via la deuxième liaison L2. Le système 2 peut fonctionner en mode opérationnel et en mode maintenance. En mode maintenance, tous les liens de communication L1 à L3 sont fonctionnels, c’est-à-dire qu’ils peuvent permettre le transit d’une communication. En mode opérationnel, le lien L3 est coupé par le FPGA, cette coupure n’étant pas physique mais logicielle. La coupure est une coupure logicielle, c’est-à-dire que, via le lien L1, le processeur 11 n’a pas accès aux données envoyées par le processeur 12 via le lien L3. Le lien L3 peut par exemple être en état physique de faire transiter des communications, mais le FPGA peut alors ne pas lire sur le lien et donc ne pas lire les données reçues via le lien L3. En mode opérationnel, le lien L2 est fonctionnel, pour pouvoir indiquer au processeur de maintenance 12 que la fonction de contrôle 11 mise en œuvre par le processeur de contrôle 11 fonctionne de manière correcte. La fonction de réception de données Rx est arrêtée en mode opérationnel. On entend par « fonctionnement correct » ou « fonctionne de manière correcte » un fonctionnement « normal » ou « attendu », c’est-à-dire respectant un standard de fonctionnement. Le changement de mode est réalisé par pilotage du FPGA 21, qui implémente pour cela une fonction de changement de mode du système 2. Le pilotage d’un mode vers l’autre parmi les modes opérationnel et de maintenance du FPGA 21 est mis en œuvre par le processeur de contrôle 11. Le procédé selon l’invention est représenté à la et comprend au moins trois étapes. Le procédé selon l’invention est mis en œuvre par le système 2. Le procédé 3 selon l’invention permet au processeur de contrôle 11 d’avoir accès à un indicateur de fonctionnement du processeur de maintenance 12 en mode opérationnel. Selon l’invention, l’indicateur de fonctionnement du processeur de maintenance 12 est créé par le FPGA 21, à partir de trames envoyées par le processeur de maintenance 12. Pour cela, le procédé 3 selon l’invention comprend une première étape 31 de réception, par le FPGA 21, d’au moins une trame envoyée par le processeur de maintenance 12. Cette trame est envoyée par le processeur de maintenance 12 via la troisième liaison unidirectionnelle L3. Les liaisons de communication L1 à L3 respectent un protocole de communication, par exemple choisi parmi Ethernet, CAN, UART, SPI, I2C etc. La trame envoyée par le processeur de maintenance 12 respecte le même protocole. La trame est préférentiellement une trame prédéfinie, c’est-à-dire une trame connue du processeur de maintenance 12 et du FPGA 21. Par exemple, une trame prédéfinie a une structure particulière, connue de l’émetteur et du récepteur. Une trame prédéfinie n’a pas forcément un contenu prédéfini. Cette étape 31 peut comprendre la réception de plusieurs trames simultanées. A réception de la trame, le FPGA 21 évalue un paramètre prédéfini à une étape 33. Le paramètre prédéfini prend, après l’évaluation, une valeur dépendant de la trame reçue. Lorsque plusieurs trames sont reçues, le paramètre prédéfini prend une valeur dépendant des plusieurs trames reçues. Le paramètre prédéfini est préférentiellement un compteur de trames reçues. Ainsi, le compteur de trames reçues par le FPGA 21 a une valeur correspondant au nombre de trames reçues. Un autre paramètre prédéfini possible est par exemple une moyenne de nombre de trames par intervalle de temps prédéfini, ou tout autre paramètre reflétant l’état du processeur de maintenance 12. Le paramètre prédéfini est une indication de fonctionnement correct du processeur de maintenance 12 en ce qu’il reflète le fonctionnement attendu du processeur de maintenance 12. Lorsque le paramètre prédéfini est un compteur de trames reçues, le processeur de maintenance 12 a un fonctionnement correct lorsqu’il envoie un nombre de trame prédéfini, ou un nombre de trames prédéfini par intervalle de temps. Le compteur de trames peut permettre au processeur de contrôle 11 de savoir si le processeur de maintenance 12 est toujours en fonctionnement correct si le processeur de contrôle 12 reçoit un compteur incrémenté régulièrement, par exemple tous les intervalles de temps prédéfinis. En mode opérationnel, après l’étape d’évaluation 33, les trames reçues à l’étape 31 sont supprimées par le FPGA 21. Ainsi, le processeur de contrôle 11 n’a pas accès aux trames reçues, et aucune communication du processeur de maintenance 12 vers le processeur de contrôle 11 n’a lieu ni n’est possible. En mode maintenance, les trames reçues par le FPGA 21 sont stockées par le FPGA 21, par exemple dans une mémoire externe au FPGA 21. Le paramètre prédéfini est ensuite stocké par le FPGA 21, par exemple dans une mémoire externe accessible par le FPGA 21. L’étape 34 comprend l’accès, par le processeur de contrôle 11, au paramètre prédéfini, c’est-à-dire à une indication de fonctionnement correct du procédé de maintenance. En fonction de la valeur de l’indicateur, ou en fonction d’une variation de sa valeur, le processeur de contrôle 11 sait alors si le processeur de maintenance 12 est dans un fonctionnement correct ou dans un état de fonctionnement incorrect. Le processeur de contrôle 11 est capable de prendre cette décision par configuration du processeur de contrôle 11. Pour que le processeur de contrôle 11 ait accès au paramètre prédéfini, le FPGA 21 peut émettre, dans une étape 34, le paramètre stocké vers le processeur de contrôle 11 via la liaison de communication bidirectionnelle L1. Dans une variante, le paramètre prédéfini peut être stocké dans une mémoire, par exemple dans un registre compris dans la mémoire, et le processeur de contrôle 11 émet une requête via la liaison bidirectionnelle L1 au FPGA21, d’accès à la mémoire ou d’accès au registre compris dans la mémoire, pour accéder au paramètre prédéfini. Ainsi, le processeur de contrôle 11 a accès à une information fiable concernant l’état de fonctionnement du processeur de maintenance 12, sans compromettre l’isolation en communication entre les deux processeurs 11 et 12, maintenant ainsi un haut niveau de sécurité du système 2. Le paramètre prédéfini peut aussi dépendre d’une vérification d’intégrité mise en œuvre par le FPGA 21. Cette vérification est mise en œuvre à une étape de vérification d’intégrité 32, avant l’évaluation de la valeur du paramètre prédéfini à l’étape 33. En fonction du résultat de la vérification d’intégrité, le paramètre prédéfini est alors évalué ou non par rapport à la ou aux trame(s) reçue(s) ayant fait l’objet de la vérification d’intégrité. L’étape de vérification d’intégrité 32 comprend la mise en œuvre de l’évaluation d’un contrôle de redondance cyclique compris dans chaque trame reçue à l’étape 31 ou d’une somme de contrôle comprise dans chaque trame reçue à l’étape 31. Ainsi, le FPGA 21 sait si chaque trame reçue est intègre et a donc bien été envoyée par le processeur de maintenance 12. L’ajout d’un contrôle d’intégrité à chaque trame par le processeur de maintenance 12 et sa vérification permettent de s’assurer que le processeur de contrôle 11 a accès à une information fiable de fonctionnement correct du processeur de maintenance 12. Un autre avantage est que le FPGA 21 nécessite très peu d’adaptation, et seulement des adaptations logicielles, pour pouvoir vérifier l’intégrité des trames reçues, au contraire de l’état de l’art qui impose de nombreuses modifications du système. Si la vérification 32 de l’intégrité de la trame reçue à l’étape 31 est positive, le paramètre prédéfini est évalué à une étape 33 et la trame est supprimée par le FPGA 21. Ainsi, le processeur de contrôle 11 n’a pas accès à la trame reçue mais a bien accès à un paramètre prédéfini dépendant de la trame reçue et indiquant un fonctionnement correct du processeur de maintenance 12. On entend par « l’intégrité de la trame reçue à l’étape 31 est positive » le fait que la trame est intègre, c’est-à-dire que le contrôle de redondance cyclique ou la somme de contrôle compris dans la trame reçue peut être retrouvé(e) à partir d’un calcul prédéfini réalisé à partir de la trame. Dans le cas d’une vérification d’intégrité positive, le procédé est alors poursuivi jusqu’à l’étape 34. Si la vérification 32 de l’intégrité de la trame reçue à l’étape 31 est négative, le paramètre prédéfini n’est pas évalué à une étape 33 et la trame est supprimée par le FPGA 21. Ainsi, le processeur de contrôle 11 n’a pas accès à la trame reçue et le paramètre prédéfini n’est pas évalué car la trame reçue n’était pas intègre. On entend par « l’intégrité de la trame reçue à l’étape 31 est négative » le fait que la trame n’est pas intègre, c’est-à-dire que le contrôle de redondance cyclique ou la somme de contrôle compris dans la trame reçue ne peut être retrouvé(e) à partir d’un calcul prédéfini réalisé à partir de la trame. Dans le cas d’une vérification d’intégrité négative, le procédé est alors stoppé jusqu’à réception d’une nouvelle trame à une étape 31. Le procédé 3 selon l’invention est répété, durant le mode opérationnel, à chaque nouvelle réception d’une ou plusieurs trames envoyée(s) par le processeur de maintenance 12 via la liaison unidirectionnelle L3. Pendant toute la durée du mode opérationnel, le processeur de contrôle 11 a alors connaissance de l’état de fonctionnement du processeur de maintenance 12, sans compromettre le prérequis d’isolation en communication des deux processeurs 11 et 12. Procédé (3) de communication d’une indication de fonctionnement correct par un premier processeur (12) à un deuxième processeur (11), le premier processeur (12) implémentant une fonction de maintenance du deuxième processeur (11), le deuxième processeur (11) implémentant une fonction de contrôle d’un moteur, le premier processeur (12) et le deuxième processeur (11) étant isolés en communication par un FPGA (21), le FPGA (21) comprenant : une première liaison (L1) de communication bidirectionnelle avec le deuxième processeur (11), une deuxième liaison (L2) de communication unidirectionnelle depuis le FPGA (21) vers le premier processeur (12), une troisième liaison (L3) de communication unidirectionnelle depuis le premier processeur (12) vers le FPGA (21), le procédé (3) comprenant au moins les étapes de : Réception (31), par le FPGA (21), via la troisième liaison (L3), d’au moins une trame envoyée par le premier processeur (12), Evaluation (33), par le FPGA (21), d’un paramètre prédéfini pour obtenir une valeur du paramètre prédéfini, la valeur du paramètre prédéfini dépendant de la trame reçue, Accès (34), par le deuxième processeur (11), via la première liaison (L1), à la valeur du paramètre prédéfini, via le FPGA (21). Procédé (3) selon la revendication précédente selon lequel le FPGA (21) est configuré pour implémenter un mode opérationnel dans lequel les trames reçues via la troisième liaison (L3) sont supprimées par le FPGA (21) après l’étape d’évaluation, et un mode maintenance dans lequel les trames reçues via la troisième liaison (L3) sont stockées par le FPGA (21) après l’étape de réception (31), le procédé (3) étant mis en œuvre en mode opérationnel. Procédé (3) selon l’une des revendications précédentes selon lequel le paramètre est un compteur de nombre de trames reçues, le compteur étant incrémenté à chaque nouvelle réception de trame. Procédé (3) selon l’une des revendications précédentes comprenant en outre, avant l’étape d’évaluation (33), une étape de vérification (32), par le FPGA (21), de l’intégrité de chaque trame reçue via la troisième liaison (L3), l’étape d’évaluation (33) n’étant réalisée, pour chaque trame reçue, que si la trame reçue est intègre. Procédé (3) selon la revendication précédente selon lequel l’étape de vérification d’intégrité (32) comprend une évaluation d’un contrôle de redondance cyclique compris dans la trame ou d’une somme de contrôle comprise dans la trame. Procédé (3) selon l’une des revendications précédentes selon lequel le moteur contrôlé par la fonction de contrôle est un moteur d’aéronef. Système (2) configuré pour mettre en œuvre le procédé (3) selon l’une quelconque des revendications précédentes, le système (2) comprenant : un moteur d’aéronef, un premier processeur (12), un deuxième processeur (11), un FPGA (21) comprenant : une première liaison (L1) de communication bidirectionnelle avec le deuxième processeur (11), une deuxième liaison (L2) de communication unidirectionnelle depuis le FPGA (21) vers le premier processeur (12), une troisième liaison (L3) de communication unidirectionnelle depuis le premier processeur (12) vers le FPGA (21), le premier processeur (12) implémentant une fonction de maintenance du deuxième processeur (11), le deuxième processeur (11) implémentant une fonction de contrôle du moteur d’aéronef, le premier processeur (12) et le deuxième processeur (11) étant isolés en communication par le FPGA (21). Produit programme d'ordinateur comprenant des instructions qui, lorsque le programme est exécuté par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé (3) selon l’une quelconque des revendications 1 à 6. Support d'enregistrement lisible par ordinateur comprenant des instructions qui, lorsqu'elles sont exécutées par un ordinateur, conduisent celui-ci à mettre en œuvre le procédé (3) selon l’une quelconque des revendications 1 à 6.