Brevet FR3163176A1 — publié le 20251212

Système et procédé de surveillance d’un système automatisé L’invention concerne un bloc de jonction (30) pour la surveillance d’un système automatisé (2), ledit système automatisé (2) comprenant au moins un contrôleur (10) configuré pour commander au moins un composant physique (20) en échangeant des signaux de données avec l’au moins un composant physique, ledit bloc de jonction étant configuré pour être connecté à l’au moins un contrôleur et comprenant une carte électronique (31), ledit bloc de jonction étant caractérisé en ce que la carte électronique intègre une spécification de règles génériques (R) fixes basées sur des processus physiques relatifs à un fonctionnement normal d’au moins un contrôleur et d’au moins un composant physique, les règles génériques étant indépendantes d’une programmation d’au moins un contrôleur. L’invention concerne également un système de surveillance (1) comprenant au moins un bloc de jonction et un procédé de surveillance d’un système automatisé utilisant le système de surveillance. Figure pour l’abrégé : Fig.1. Système et procédé de surveillance d’un système automatisé La présente invention concerne la surveillance et la protection d’un système automatisé contre les dérives de fonctionnement. Elle trouve par exemple une application particulièrement avantageuse dans la cyber-sécurité, l’internet des objets, l’optimisation de la production et la maintenance (corrective, conditionnelle et prédictive) d’un système automatisé ou la traçabilité en temps réel de données. ETAT DE LA TECHNIQUE Afin d’augmenter la productivité d’un système automatisé, sa réactivité aux aléas de fonctionnement doit être améliorée. Il est notamment nécessaire de surveiller les potentielles dérives de fonctionnement de ce système. Cela nécessite un accès aux informations circulant entre les équipements du système et leurs dispositifs de commande. La plupart des approches de détection des dérives de fonctionnement se basent sur le fait que les dispositifs de commande, les automates programmables industriels, les éléments de liaison physique entre les capteurs ou actionneurs, et les réseaux numériques, offrent des capacités fiables de mise à disposition des informations récoltées et agrégées. Or, en réalité, les automates programmables industriels sont vulnérables. Le document US 11378929 B2 par exemple, décrit un contrôleur logique programmable dit « fictif déterministe » (DFPLC) intégré dans un système industriel, clonant un contrôleur logique programmable (PLC) conventionnel et connecté à une unité de surveillance. Le principe de surveillance divulgué par le document US 11378929 B2 est ainsi basé sur une paire de contrôleurs « réel » (PLC) et « fictif » (DFPLC) identiques. L’unité de surveillance est configurée pour comparer les comportements du contrôleur fictif DFPLC et du contrôleur réel PLC correspondant. En cas de divergence de comportement, l’unité de surveillance communique une alerte. Ce principe de surveillance suppose que seul le contrôleur réel PLC peut être défaillant, et que le second contrôleur fictif DFPLC est non vulnérable aux cyber-attaques. En cas d’attaque ou de défaillance du système automatisé, il n’est cependant pas exclu que le contrôleur fictif DFPLC soit également altéré ou contaminé. Cette solution n’est donc pas complétement fiable. Par ailleurs, le DFPLC est conçu et programmé spécifiquement selon l’application du système industriel surveillé, afin de lui permettre de se « dissimuler » parmi le ou les automates programmables industriels conventionnels. Le DFPLC repose sur une programmation déterministe, et doit être adapté ou reprogrammé en fonction de chaque PLC à cloner. Cette solution n’est donc pas versatile. La présente invention propose de pallier au moins en partie les inconvénients connus des systèmes de surveillance d’un système automatisé. En particulier, un objectif de la présente invention est de proposer un système de surveillance qui peut être intégré à un système automatisé existant, et qui soit fiable et/ou versatile. RESUME Pour atteindre cet objectif, selon un premier aspect de l’invention, on prévoit un bloc de jonction pour la surveillance d’un système automatisé, le système automatisé comprenant au moins un contrôleur configuré pour commander au moins un composant physique en échangeant des signaux de données avec l’au moins un composant physique, le bloc de jonction étant configuré pour être connecté à l’au moins un contrôleur, le bloc de jonction comprenant une carte électronique. La carte électronique intègre une spécification de règles génériques fixes, basées sur des processus physiques relatifs à un fonctionnement normal de l’au moins un contrôleur et l’au moins un composant physique, les règles génériques étant indépendantes d’une programmation de l’au moins un contrôleur. Ce bloc de jonction embarquant une spécification de règles génériques fixes est un composant prêt à être intégré dans un système automatisé déjà installé ou non, sans la nécessité de le programmer en fonction de l’application du système automatisé. En effet, grâce à la spécification de règles génériques qui sont fixes et applicables sur tout système automatisé existant ou non, le bloc de jonction permet de protéger toute une variété de pré-actionneurs et actionneurs du marché. Le respect ou non des règles génériques par un actionneur lors de son fonctionnement permet au bloc de jonction de surveiller et/ou de détecter des signaux de commandes dangereux tels que des actes de malveillance (ou cyber-attaques) ou des dégradations, ou des dérives naturelles d’un composant physique dans le cas où le bloc de jonction est associé à des capteurs par exemple. Le système automatisé comprenant un tel bloc de jonction peut être avantageusement protégé contre ces signaux de commandes dangereux. Les règles génériques sont typiquement basées sur des lois physiques auxquelles est soumis n’importe quel type d’actionneur et/ou pré-actionneur. Un deuxième aspect de l’invention concerne un système de surveillance d’un système automatisé, comprenant au moins un bloc de jonction, le système de surveillance comprenant en outre un module de tête configuré pour : être connecté à l’au moins un bloc de jonction, et recevoir en temps réel au moins une alerte émise par le bloc de jonction lorsqu’au moins un signal d’entrée collecté par le bloc de jonction n’est pas conforme aux règles génériques et exporter vers un système tiers l’au moins une alerte, ou recevoir en temps réel une pluralité de signaux d’entrée collectés par une pluralité de blocs de jonction, et émettre au moins une alerte si au moins un parmi lesdits signaux d’entrée contrevient à au moins une règle de détection intégrée au module de tête. Au-delà des fonctions de surveillance et d’alerte en présence d’un usage malveillant ou d’un fonctionnement déviant des pré-actionneurs et/ou actionneurs, le système comprenant un module de tête connecté à l’au moins un bloc de jonction offre une véritable capacité de collecte et de diffusion de l’information collectée au plus bas niveau -proche du composant physique- vers un niveau supérieur. Un troisième aspect de l’invention concerne un procédé de surveillance d’un système automatisé utilisant le système de surveillance, comprenant : une collection par l’au moins un bloc de jonction d’au moins un signal d’entrée émis par l’au moins un contrôleur et/ou l'au moins un composant physique, et une évaluation en temps réel d’une conformité de l’au moins un signal d’entrée vis-à-vis des règles génériques. Ce procédé permet de minimiser le risque d’altération volontaire ou involontaire des données transitant au sein du système automatisé, en collectant au niveau le plus bas de l’architecture d’un système automatisé, grâce au bloc de jonction, tout signal de donnée échangé entre le contrôleur et le composant physique et en le comparant aux règles génériques. De plus, ce procédé permet typiquement d’acquérir ces données sous forme brute accompagnées de tous les champs associés tels que l’horodatage ou « timestamping » en anglais par exemple, ce qui permet de visualiser d’une façon précise les signaux reçus par les pré-actionneurs, les actionneurs et les capteurs. BREVE DESCRIPTION DES FIGURES Les buts, objets, ainsi que les caractéristiques et avantages de l’invention ressortiront mieux de la description détaillée d’un mode de réalisation de cette dernière qui est illustré par les dessins d’accompagnement suivants dans lesquels : FIG. 1 La FIG. 1 illustre schématiquement un système de surveillance comprenant un bloc de jonction selon un exemple de réalisation de la présente invention, intégré dans un système automatisé. FIG. 2 La FIG. 2 illustre schématiquement un système de surveillance comprenant une pluralité de blocs de jonction selon un exemple de réalisation de la présente invention, intégré dans un système automatisé. FIG. 3 La FIG. 3 représente un organigramme illustrant des étapes du procédé de surveillance d’un système automatisé en utilisant un système de surveillance selon un exemple de réalisation de la présente invention. Les dessins sont donnés à titre d'exemples et ne sont pas limitatifs de l’invention. Ils constituent des représentations schématiques de principe destinées à faciliter la compréhension de l’invention et ne sont pas nécessairement à l'échelle des applications pratiques. DESCRIPTION DÉTAILLÉE Avant d’entamer une revue détaillée de modes de réalisation de l’invention, sont énoncées ci-après des caractéristiques optionnelles qui peuvent éventuellement être utilisées en association ou alternativement : Selon un exemple, le bloc de jonction est configuré pour : être connecté en série entre l’au moins un contrôleur et l’au moins un composant physique, collecter au moins un signal d’entrée émis par l’au moins un contrôleur et/ou l’au moins un composant physique, et évaluer en temps réel une conformité de l’au moins un signal d’entrée vis-à-vis des règles génériques. Le bloc de jonction permet, en le connectant entre les entrées et sorties physiques d’un composant physique (par exemple un pré-actionneur, un actionneur ou un capteur) et un contrôleur (par exemple un automate programmable industriel, un régulateur de vitesse, etc .), de prélever les données échangées entre le composant physique et son contrôleur au plus bas niveau de l’architecture de contrôle-commande. Cela permet de visualiser les données brutes échangées entre un automate programmable industriel conventionnel et un pré-actionneur, actionneur ou capteur du système industriel surveillé. Cela minimise le risque d’altération de ces données et améliore la fiabilité de surveillance. Par ailleurs, en appliquant les règles génériques en temps réel et sur chaque signal collecté, le bloc de jonction permet de détecter tout signal suspect provenant par exemple d’une dérive naturelle, et/ou tout risque de modification par un cyberattaquant au plus bas niveau du système automatisé, que ce soit au niveau de l’automate programmable, des pré-actionneur ou des actionneurs. Selon un exemple, le bloc de jonction est configuré pour émettre en temps réel au moins une alerte lorsque l’au moins un signal d’entrée n’est pas conforme aux règles génériques. Le bloc de jonction permet de signaler toute détection de signaux suspects non conformes aux règles génériques en envoyant une alerte qui peut être communiquée à l’utilisateur en temps réel, lui permettant d’agir rapidement pour éviter une dégradation du système automatisé ou une baisse de la production industrielle. Selon un exemple, le bloc de jonction peut embarquer une intelligence artificielle. Selon un exemple, le bloc de jonction peut embarquer au moins un logiciel. Selon un exemple, le nombre de règles génériques est fini. Selon un exemple, le bloc de jonction comprend un boîtier encapsulant la carte électronique, le boîtier étant à base d’un matériau électriquement isolant. Selon un exemple, le boîtier est configuré pour permettre une installation du bloc de jonction sur des rails DIN. Le boîtier encapsulant les différents composants du bloc de jonction, étant compatible avec des profilés supports standardisés, permet l’intégration du bloc de jonction dans des systèmes automatisés existants, en installant les blocs de jonctions sur des rails DIN largement utilisés pour le support mécanique des appareillages électriques (comme les disjoncteurs par exemple) et leurs accessoires. Ce bloc de jonction est donc non intrusif, et peut être installé en lieu et place des borniers de jonction existants. Le boîtier permet également d’assurer une isolation galvanique, ce qui permet notamment d’éviter un comportement intrusif du bloc de jonction dans le système automatisé. Selon un exemple, le système de surveillance est configuré pour interrompre les signaux de données échangés entre l’au moins un contrôleur et l’au moins un composant physique, lorsqu’au moins un signal d’entrée collecté par au moins un bloc de jonction n’est pas conforme aux règles génériques de l’au moins un bloc de jonction. Ce pouvoir de coupure des signaux de commande des pré-actionneurs ou des actionneurs, permet de protéger ces derniers en cas de commande dégradante ou destructive. Ce mode de protection est activable ou non en fonction du besoin. Selon un exemple, le module de tête comprend en outre une mémoire et est configuré pour stocker l’au moins une alerte et au moins un signal d’entrée dans un format de données dans la mémoire. Selon un exemple, le module de tête est encapsulé dans un boîtier à base d’un matériau isolant électriquement, le boîtier étant configuré pour permettre l’installation du module de tête sur des rails DIN. Les avantages décrits ci-dessus dans le cas du bloc de jonction sont applicables à un tel module de tête. Selon un exemple, le module de tête est connecté à l’au moins un bloc de jonction à travers un connecteur de bus compatible avec des rails DIN. Ces connecteurs sont conçus pour être montés directement entre des borniers montés sur rails DIN standard et sont couramment utilisés pour distribuer une alimentation électrique. Ces connecteurs permettent typiquement de distribuer l’alimentation électrique du module de tête à tous les blocs de jonctions connectés au module de tête. Selon un exemple, le module de tête est configuré pour communiquer au moins un signal d’entrée à l’origine de l’au moins une alerte, dans un format de données, au système tiers. Cela permet de transmettre d’une façon sécurisée, sans perturber les réseaux industriels existants, les données collectées par le module de tête à des systèmes tiers comme un système de type « cloud » (ou informatique en nuage), « big data » (ou données massives), SCADA (acronyme de « Supervisory Control and Data Acquisition » ou Système de contrôle et d'acquisition de données), SIEM (acronyme de « Security Information and Event Management » ou Gestion de l'Information et des Événements de Sécurité) ou des applications mobiles. Selon un exemple, la communication des données stockées dans la mémoire du module de tête à au moins un système tiers se fait à travers un réseau sans fil ou filaire. Selon un exemple, le module de tête comprend un microprocesseur configuré pour corréler les données échangées entre l’au moins un contrôleur et l’au moins un composant physique, et pour transmettre ces données corrélées à un algorithme d’intelligence artificielle exécutable par le microprocesseur et/ou le système tiers, l’algorithme d’intelligence artificielle étant configuré pour déceler de faibles dérives de fonctionnement du système automatisé. Cet algorithme basé sur l’intelligence artificielle permet, à partir des données collectées auprès de tous les blocs de jonction et centralisées dans le module de tête, de diagnostiquer plus finement les dérives de fonctionnement du système automatisé et de prédire ou détecter par exemple à l’échelle d’un automate programmable industriel, des petites désynchronisations qui pourraient passer inaperçues, mais qui peuvent se traduire, à l’échelle de tous les automates programmables, par une tentative de cyberattaque fine et sophistiquée. A l’inverse ou en complément, cela permet d’éliminer d’éventuels faux positifs. La fiabilité de la détection d’attaque est améliorée. Selon un exemple, le module de tête comprend en outre une horloge. L’horloge permet de fournir une référence temporelle précise et continue, même en cas d’absence d’alimentation électrique. Une batterie peut être intégrée dans le module de tête. Cela permet par exemple l’horodatage des données acquises au niveau de chacun des blocs de jonction. Selon un exemple, le procédé de surveillance du système automatisé comprend une émission en temps réel d’au moins une alerte par l’au moins un bloc de jonction à destination du module de tête, lorsqu’au moins un signal d’entrée est évalué non conforme aux règles génériques. Selon un exemple, le procédé de surveillance du système automatisé comprend une transmission en temps réel de l’au moins un signal d’entrée collecté par l’au moins un bloc de jonction, à destination du module de tête. La collection par le module de tête de tous les signaux de données relevés auprès des blocs de jonction, permet de centraliser l’ensemble des données au niveau du module de tête ce qui permet ensuite de les corréler et/ou de les analyser. Selon un exemple, le procédé comprend en outre un stockage en temps réel de l’au moins une alerte et de l’au moins un signal d’entrée en forme de données dans la mémoire. Selon un exemple, le procédé de surveillance d’un système automatisé comprend en outre une synchronisation à l’aide de l’horloge du module de tête, entre l’au moins un bloc de jonction et le module de tête avant la collection par l’au moins un bloc de jonction de l’au moins un signal d’entrée. Selon un exemple, le procédé de surveillance d’un système automatisé comprend en outre une interruption des signaux de données échangés entre le contrôleur et l’au moins un composant physique, lorsqu’au moins un signal d’entrée est évalué non conforme aux règles génériques par l’au moins un bloc de jonction. Selon un exemple, le procédé de surveillance d’un système automatisé comprend en outre une communication par le module de tête de l’au moins une alerte et l’au moins un signal d’entrée collecté, dans un format de données à au moins un système tiers. Sauf incompatibilité, il est entendu que l’ensemble des caractéristiques optionnelles ci-dessus peuvent être combinées de façon à former un mode de réalisation qui n’est pas nécessairement illustré ou décrit. Un tel mode de réalisation n’est évidemment pas exclu de l’invention. Les caractéristiques et avantages du bloc de jonction selon l’invention peuvent s’appliquer, mutatis mutandis , aux caractéristiques et avantages du système ou du procédé selon l’invention, et inversement. Il est précisé que, dans le cadre de la présente invention, les étapes du procédé s’entendent au sens large de la réalisation d’une partie du procédé et peuvent éventuellement être réalisées en plusieurs sous-étapes. Plusieurs modes de réalisation de l’invention mettant en œuvre des étapes successives du procédé de surveillance sont décrits ci-après. Sauf mention explicite, l’adjectif « successif » n’implique pas nécessairement, même si cela est généralement préféré, que les étapes se suivent immédiatement, des étapes intermédiaires pouvant les séparer. Par ailleurs, le terme « étape » ne signifie pas obligatoirement que les actions menées durant une étape soient simultanées ou immédiatement successives. Certaines actions d’une première étape peuvent notamment être suivies d’actions liées à une étape différente, et d’autres actions de la première étape peuvent être reprises ensuite. Ainsi, le terme étape ne s’entend pas forcément d’actions unitaires et inséparables dans le temps et dans l’enchaînement des phases du procédé. On entend par un fonctionnement normal d’un contrôleur ou d’un composant physique, un fonctionnement caractérisé par des performances stables et cohérentes, sans erreurs ni anomalies significatives. Dans le cadre d’un fonctionnement normal du système automatisé, chaque étape du processus automatisé se déroule d’une manière fluide et efficace. Des indicateurs d’un fonctionnement normal peuvent inclure par exemple : le temps de réponse d’un capteur, la précision de mesure, la vitesse d’exécution d’une action par un actionneur, des seuils ou des plages de valeurs de tension ou de courant, etc . Ces indicateurs sont applicables à tout système automatisé. On entend par contrôleur d’un système automatisé, une unité de commande configurée pour réguler une ou des opérations du système automatisé en fonction des données d'entrée et de paramètres prédéfinis. L’unité de commande peut ainsi autoriser ou non certaines actions des composants du système afin d'atteindre les objectifs souhaités. On entend par un composant physique d’un système automatisé, tout élément tangible utilisé pour réaliser des fonctions spécifiques au sein du système. Ces composants peuvent être des robots, des dispositifs électroniques, des capteurs, des actionneurs, des instruments de mesure, des conduites, des réservoirs, des convoyeurs, des équipements de levage, des moteurs électriques, des vérins pneumatiques ou hydrauliques, des vannes, etc . Un rail DIN est un profilé support standardisé, généralement métallique, largement utilisé pour le support mécanique des appareillage électriques (comme les disjoncteurs) et leurs accessoires. DIN est l’acronyme de « Deutsches Institut für Normung », organisme qui est à l'origine de ce standard. Les figures 1 et 2 ne reproduisent pas d’une manière réaliste le bloc de jonction 30, le système de surveillance 1 et le système automatisé 2. Par souci de simplification, ces figures illustrent les différents éléments du système de surveillance 1 et du système automatisé 2 schématiquement sous forme de blocs fonctionnels, et les connexions entre les différents éléments sous forme de flèches. Comme illustré à la FIG. 1 , un système automatisé 2 comprend au moins un contrôleur 10 et au moins un composant physique 20. En l’absence du système de surveillance 1, le composant physique 20 peut être directement connecté au contrôleur 10. Ce contrôleur 10 échange avec le composant physique 20 des signaux de données qui permettent de commander le composant physique 20 afin de réaliser une action qui peut être physique ou non. Le contrôleur 10 peut être par exemple un automate programmable industriel. Le composant physique 20 peut être un actionneur qui reçoit un signal de commande de l’automate pour exécuter une certaine action physique ou mécanique en réponse au signal de commande. L’automate peut également être connecté à un capteur, qui renvoie par exemple à l’automate un signal de retour pour fournir des informations sur l’état de l’actionneur. Les signaux de données échangés entre le contrôleur 10 et les composants physiques 20 peuvent être interceptés ou manipulés par un cyberattaquant. Afin de surveiller ces signaux échangés entre le contrôleur 10 et les composants physiques 20, un bloc de jonction 30 est intégré au système automatisé 2, entre le contrôleur 10 et les composants physiques 20. Le bloc de jonction 30 est configuré pour être connecté aux entrées/sorties du contrôleur 10. Le bloc de jonction 30 peut également être connecté aux entrées/sorties du composant physique 20. Le bloc de jonction 30 comprend une carte électronique 31. La carte électronique 31 peut intégrer un microprocesseur et un programme installé à la fabrication. La carte électronique 31 intègre notamment une spécification de règles génériques R. Ces règles génériques R sont fixes et sont basées sur des processus physiques relatifs à un fonctionnement normal du contrôleur 10 et des composants physiques 20. En d’autres termes, ces règles génériques R décrivent une évolution attendue et cohérente des grandeurs physiques gouvernant le fonctionnement du système automatisé 2. Les règles génériques R, basées sur des processus physiques universels, sont applicables à tout système automatisé 2, qu’il soit déjà installé et mis en œuvre ou non. Ces règles génériques R sont ainsi indépendantes d’une programmation du contrôleur 10. Comme illustré à la FIG. 1 , le bloc de jonction 30 peut être connecté en série entre le contrôleur 10 et le ou les composants physiques 20. La position du bloc de jonction 30, intermédiaire, permet à ce bloc de jonction 30 d’intercepter tous les signaux échangés entre le contrôleur 10 et les composants physiques 20. Le bloc de jonction 20 peut ainsi recevoir et collecter un signal d’entrée I émis par le contrôleur 10 vers le composant physique 20 et/ou par le composant physique 20 vers le contrôleur 10. En appliquant les règles génériques R sur chacun des signaux d’entrée I, le bloc de jonction 30 évalue en temps réel le signal d’entrée I vis-à-vis des règles génériques R. Dans le cas où le signal d’entrée est conforme et cohérent avec les règles génériques R, le bloc de jonction 30 agit de manière passive et laisse le signal circuler vers le contrôleur 10 ou le composant physique 20. En revanche, si le signal d’entrée I n’est pas conforme aux règles génériques R, ou non cohérent avec celles-ci, le bloc de jonction 30 émet au moins une alerte A. Le bloc de jonction 30 peut être configuré pour laisser passer ce signal suspect, ou peut être configuré pour interrompre ce signal. Le bloc de jonction 30 décrit précédemment peut être intégré dans un système de surveillance 1. Le système de surveillance 1 comprend en outre un module de tête 40 dit « maître » connecté à au moins un bloc de jonction 30 dit « esclave ». Le module de tête 40 est configuré pour être connecté au bloc de jonction 30, comme illustré à la FIG. 1 , ce qui lui permet de collecter en temps réel les signaux I entrant dans le bloc de jonction 30, qu’ils soient conformes ou non aux règles génériques R. Ces données peuvent provenir de plusieurs blocs de jonction 30, et peuvent ainsi être centralisées dans le module de tête 40. Le module de tête 40 peut comprendre un microcontrôleur et une mémoire 41, et peut être configuré pour réaliser au moins deux tâches, typiquement l’export des données centralisées et/ou la détection de haut niveau. Le module de tête 40 peut stocker les données collectées dans sa mémoire 41 d’une manière sécurisée. Le module de tête 40 peut en outre comprendre une interface de communication de données via un réseau propre au système de surveillance 1. De préférence, ce réseau est sans fil pour garantir le caractère non intrusif du système de surveillance 1. Les données collectées par le module de tête 40, notamment les signaux d’entrée I à l’origine des alertes A, peuvent ainsi être communiquées d’une manière sécurisée à un système tiers 3, comme illustré à la FIG. 1 . Lorsque le mode d’export de données est activé, le module de tête 40 reçoit en temps réel les alertes A émises par au moins un bloc de jonction 30 quand un signal d’entrée I collecté par le bloc de jonction 30 n’est pas conforme aux règles génériques R. Le module de tête 40 peut exporter cette alerte A vers le système tiers 3 par un protocole de communication sécurisé. Le système tiers 3 peut correspondre à un système de type cloud (ou informatique en nuage), big data (ou données massives), SCADA (« Supervisory Control and Data Acquisition » ou Système de contrôle et d'acquisition de données), SIEM (« Security Information and Event Management » ou Gestion de l'Information et des Événements de Sécurité) ou des applications mobiles. Lorsque le mode de détection de haut niveau est activé, le module de tête 40 peut recevoir en temps réel une pluralité de signaux d’entrée I collectés par une pluralité de blocs de jonction 30. Ces données « de terrain » issues des différents blocs de jonction 30 peuvent être inter-corrélées à l’aide du microprocesseur du module de tête 40. Cela permet de générer des règles de détection sous forme d’équations logiques. Le module de tête 40 peut ainsi être configuré pour émettre au moins une alerte A si l’un parmi les signaux d’entrée I contrevient à une règle de détection générée. Le module de tête 40 peut également être configuré pour corréler les données échangées entre le contrôleur 10 et le composant physique 20. Ces données corrélées peuvent être transmises à un algorithme d’intelligence artificielle exécutable par le microprocesseur et/ou le système tiers 3. Cet algorithme d’intelligence artificielle est configuré pour déceler de faibles dérives de fonctionnement du système automatisé 2. Il permet de diagnostiquer plus finement les dérives de fonctionnement du système automatisé 2 et de prédire ou détecter par exemple à l’échelle d’un automate programmable industriel, de petites désynchronisations. Ces désynchronisations minimes, qui peuvent passer inaperçues isolément, peuvent correspondre à une signature de cyberattaque à grande échelle visant à désorganiser l’ensemble des automates programmables. Le recours à un algorithme d’intelligence artificielle permet par exemple d’améliorer la détection d’attaques fines et sophistiquées. Cela permet également d’éliminer d’éventuels faux positifs. La fiabilité de la détection d’attaque est améliorée. Le système de surveillance 1 peut être configuré pour protéger le composant physique 20 contre toute menace volontaire ou non, ou contre une dégradation naturelle. Dans cette configuration de protection, le bloc de jonction 30 peut être programmé de façon à interrompre les signaux de données échangés entre le contrôleur 10 et le composant physique 20, quand il détecte un signal d’entrée I qui n’est pas conforme aux règles génériques R. Cette fonctionnalité permet de protéger par exemple les pré-actionneurs ou les actionneurs en interrompant la transmission des signaux de commandes suspects émis par l’automate programmable industriel. Cela empêche les actionneurs d’exécuter ces commandes destructives ou dégradantes, ce qui garantit leur sécurité. Cette fonctionnalité de protection est paramétrable et peut être activée ou désactivée. Chacun des blocs de jonction 30 et du module de tête 40 est de préférence encapsulé dans un boîtier à base d’un matériau qui assure une isolation galvanique des composants internes. Cette isolation galvanique permet de garantir un comportement non intrusif du bloc de jonction 30, notamment quand il est intégré au sein d’un système automatisé 2 qui est déjà installé et mis en œuvre. Le boîtier peut être configuré pour permettre l’installation du bloc de jonction 30 et du module de tête 40 sur des rails DIN. Le boîtier peut ainsi être équipé de broches de montage compatibles avec un rail DIN. Ces rails DIN sont largement utilisés pour le support mécanique des appareillages électriques, parce qu’ils permettent de connecter plusieurs équipements entre eux, de façon compacte, en diminuant le câblage manuel. Le bloc de jonction 30 isolé dans un tel boîtier peut ainsi remplacer un bornier de jonction conventionnel installé sur un rail DIN entre un contrôleur 10 et un composant physique 20, sans perturber le fonctionnement et le positionnement du contrôleur 10 et du composant physique 20. Le bloc de jonction 30 présente ainsi un caractère non intrusif. Le module de tête 40 peut être connecté au bloc de jonction 30 à l’aide d’un connecteur de bus B compatible avec des rails DIN. Le module de tête 40 peut collecter les données relevées au niveau du bloc de jonction 30 à travers le connecteur de bus B. Cette collection de données peut être réalisée de préférence par un protocole I2C (acronyme de « Inter Integrated Circuit » ou Circuit Intégré Interconnecté). Comme illustré à la FIG. 2 , selon un exemple, le module de tête 40 peut être connecté à plusieurs blocs de jonction 30 à travers le connecteur de bus B, et peut communiquer via le protocole I2C avec chacun de ces blocs de jonction 30. Un module de tête peut être connecté à seize blocs de jonction 30 par exemple. Le module de tête 40 peut être alimenté par une tension de 24 V en courant continu. L’alimentation électrique du module de tête 40 peut être réalisée par une connexion filaire standard, depuis l’alimentation générale du coffret électrique du système automatisé 2. Le connecteur de bus B permet de distribuer l’alimentation électrique du module de tête 40 à tous les blocs de jonctions 30 connectés au module de tête 40. Ainsi, seul le module de tête 40 nécessite une place supplémentaire sur le rail DIN ainsi qu’un accès à une alimentation électrique. Alternativement ou en complément, le module de tête 40 peut être alimenté par une batterie rechargeable. Le module de tête 40 peut comprendre une horloge 42. Cette horloge 42 permet de fournir une référence temporelle précise et continue, même en cas d’absence d’alimentation électrique, ce qui permet l’horodatage en temps réel des données acquises au niveau de chacun des blocs de jonction 30. Chaque bloc de jonction 30 peut comprendre en outre un ou plusieurs relais. La mémoire 41 du module de tête 40 peut être du type Micro SD. Elle est de préférence chiffrée afin de sécuriser les données stockées. Le système de surveillance 1 décrit ci-dessus permet ainsi l’acquisition, la surveillance, la protection et la diffusion des données collectées entre le contrôleur 10 et les composants physiques 20. En se connectant entre les entrées et les sorties physiques du contrôleur 10 et des composants physiques 20, le système de surveillance 1 permet de prélever les données au plus bas niveau de l’architecture de contrôle-commande, sans perturber l’installation existante ou à déployer. Cela permet d’améliorer la fiabilité et l’ergonomie du système de surveillance. Grâce à la spécification de règles génériques R, le système de surveillance 1 permet typiquement de protéger tous les types de pré-actionneurs et d’actionneurs du marché. La conformité des signaux collectés vis-à-vis des règles génériques R permet au système de surveillance 1 de détecter et/ou de protéger l’installation ou le système automatisé au regard de signaux de commandes dangereux. Avantageusement, le système de surveillance 1 permet une acquisition non intrusive de flux de signaux transitant entre le système de contrôle-commande et le procédé physique. Il permet également de discriminer les dérives de fonctionnement selon une suspicion d’actes de malveillance ( i.e. cyber-attaques) ou de dégradation naturelle ( i.e. panne d’un composant physique). Par mesure de sécurité, le module de tête 40 n’est de préférence pas reprogrammable par l’utilisateur. Il peut ne disposer que des fonctions de communication de type « push ». En outre, la configuration du module de tête 40 n’intervient qu’à la mise en service du système de surveillance 1, ce qui permet de minimiser considérablement les manipulations volontaires ou involontaires du système de surveillance 1. De préférence, le module de tête 40 et les blocs de jonction 30 sont exempts de systèmes d’exploitation. Le procédé de surveillance d’un système automatisé 2, en employant le système de surveillance 1, est maintenant décrit en référence à la FIG. 3 qui représente un organigramme illustrant des étapes du procédé. Comme illustré à la FIG. 3 , le procédé comprend une collection 102 par le bloc de jonction 30, connecté entre le contrôleur 10 et le composant physique 20, d’un signal d’entrée I émis par le contrôleur 10 et/ou le composant physique 20. Le procédé comprend en outre une évaluation 104 en temps réel d’une conformité de chacun des signaux d’entrée I vis-à-vis des règles génériques R. Les règles génériques R peuvent comprendre, à titre d’exemple non limitatif, une première règle dite fréquentielle, qui peut être appliquée sur des sorties TOR (Tout Ou Rien). Cette règle fréquentielle permet de détecter le non-respect des temps de réponse d’un pré-actionneur. La violation de cette règle fréquentielle peut engendrer un endommagement du pré-actionneur et de la chaine d’action en général. Selon un autre exemple, les règles génériques R peuvent comprendre une deuxième règle relative à une variation continue d’une consigne. Dans le cadre d’une consigne en régulation (par exemple vitesse, couple, etc. ), la ou les consignes ne sont pas supposées varier continument dans le temps. Un programme PLC fixera typiquement des consignes fixes, en fonction des modes (par exemple, tourner à 5000 tours/minute dans un mode de préparation puis à 10000 tours/minute dans un mode de production normale). Dans ce cadre, la deuxième règle peut porter sur la détection d’une dérive continue positive ou négative de la consigne (exemple de stuxnet). Selon un autre exemple, les règles génériques R peuvent comprendre une troisième règle relative au seuil de tension d’une consigne. Cette troisième règle permet de protéger une installation d’une consigne dépassant les capacités d’une chaine fonctionnelle ( i.e. demander une vitesse de rotation supérieure aux capacités d’un moteur/effecteur). Les règles génériques R peuvent comprendre également une quatrième règle sur la fréquence maximale d’une consigne PWM (« Pulse Width Modulation » en anglais, ou modulation de largeur d'impulsion). Cette quatrième règle permet, comme pour la troisième règle, de protéger une installation vis-à-vis d’une consigne dépassant les capacités d’une chaine fonctionnelle, la consigne étant une consigne PWM. Lorsque le signal d’entrée I est conforme aux règles génériques R, et donc à un fonctionnement normal et sans risques du système automatisé 2, le bloc de jonction 30 peut agir de façon passive en laissant le signal I transiter vers le contrôleur 10 ou le composant physique 20. Lorsque le signal d’entrée I est évalué comme étant non conforme à une ou plusieurs règles génériques R, le procédé comprend une émission 105 d’au moins une alerte A en temps réel par le bloc de jonction 30 à destination du module de tête 40. Ainsi, lorsqu’une ou plusieurs règles génériques R sont enfreintes, le bloc de jonction 30 réagit en émettant a minima une alerte. Des mesures de protection peuvent dès lors être mises en œuvre. Le procédé comprend en outre une transmission 107 en temps réel des signaux d’entrée I transitant dans le ou les blocs de jonction 30, ainsi que les alertes A, au module de tête 40. Cette transmission 107 de signaux I permet au module de tête 40 de centraliser toutes les informations brutes relevées auprès des différents blocs de jonctions 30, pour pouvoir les exporter ou les stocker. De ce fait, le procédé peut comprendre un stockage 108 des alertes A et des signaux d’entrée I dans un format de données dans la mémoire 41 du module de tête 40. Les données acquises étant brutes (« Raw Data » en anglais), elles représentent une image exacte des signaux reçus par les capteurs et les actionneurs du système automatisé 2. Cette transmission 107 de données de terrain peut également être mise à profit pour exploiter ces données à des fins de traçabilité ou de maintenance, en plus de la fonction de surveillance du système automatisé 2. Le procédé peut également comprendre une communication 109 de ces données vers un système tiers 3, sans perturber un éventuel réseau déjà installé. Cela permet également de stocker les données par le système tiers 3, tel qu’un service de stockage de type cloud. Les données acquises peuvent également être diffusées vers un SIEM (« Security Information and Event Management » ou Gestion des Informations et des Événements de Sécurité) à des fins d’analyses diagnostiques, de maintenance prédictive et de détection de cyber-attaques à base d’outils par exemple basés sur l’intelligence artificielle. Selon le choix du système tiers 3, l’utilisateur du système de surveillance 1 peut paramétrer le module de tête 40 en rajoutant une ou plusieurs adresses. Le procédé peut comprendre en outre une synchronisation 101 à l’aide de l’horloge 42 du module de tête 40, entre les blocs de jonction 30 et le module de tête 40 avant la collection 102 des signaux d’entrée I par les blocs de jonction 30. Lorsque le signal d’entrée I est évalué non conforme aux règles génériques R, le procédé peut également comprendre une interruption 106 des signaux échangés entre le contrôleur 10 et le composant physique 20, notamment quand le composant physique est un actionneur destiné à exécuter une action physique. Ces signaux I erronés ou altérés peuvent aboutir à la dégradation ou la destruction de l’actionneur. Cette interruption 106, qui reste optionnelle et à la discrétion du client, permet d’empêcher cette dégradation ou destruction, protégeant ainsi le fonctionnement de l’ensemble du système automatisé 2. Cette interruption peut être paramétrée et activée au besoin. L’invention n’est pas limitée aux modes de réalisations précédemment décrits. Différents exemples particuliers du système de surveillance d’un système automatisé et du procédé associé ont été décrits. D’autres variantes de réalisation sont possibles, par exemple par combinaison de caractéristiques précédemment décrites, sans se départir du principe de la présente invention. En outre, les caractéristiques décrites relativement à un aspect de l’invention peuvent être combinées à un autre aspect de l’invention. Bloc de jonction (30) pour la surveillance d’un système automatisé (2), ledit système automatisé (2) comprenant au moins un contrôleur (10) configuré pour commander au moins un composant physique (20) en échangeant des signaux de données avec l’au moins un composant physique (20), ledit bloc de jonction (30) étant configuré pour être connecté à l’au moins un contrôleur (10), ledit bloc de jonction (30) comprenant une carte électronique (31), ledit bloc de jonction (30) étant caractérisé en ce que la carte électronique (31) intègre une spécification de règles génériques (R) fixes basées sur des processus physiques relatifs à un fonctionnement normal de l’au moins un contrôleur (10) et l’au moins un composant physique (20), les règles génériques (R) étant indépendantes d’une programmation de l’au moins un contrôleur (10). Bloc de jonction (30) selon la revendication précédente, configuré pour : être connecté en série entre l’au moins un contrôleur (10) et l’au moins un composant physique (20), collecter au moins un signal d’entrée (I) émis par l’au moins un contrôleur (10) et/ou l’au moins un composant physique (20), et évaluer en temps réel une conformité de l’au moins un signal d’entrée (I) vis-à-vis des règles génériques (R). Bloc de jonction (30) selon la revendication précédente, configuré pour émettre en temps réel au moins une alerte (A) lorsque l’au moins un signal d’entrée (I) n’est pas conforme aux règles génériques (R). Bloc de jonction (30) selon l’une quelconque des revendications précédentes, comprenant un boîtier encapsulant la carte électronique (31), le boîtier étant à base d’un matériau électriquement isolant et configuré pour permettre une installation du bloc de jonction (30) sur des rails DIN. Système de surveillance (1) d’un système automatisé (2), comprenant au moins un bloc de jonction (30) selon l’une quelconque des revendications précédentes, ledit système de surveillance (1) comprenant en outre un module de tête (40) configuré pour : être connecté à l’au moins un bloc de jonction (30), et recevoir en temps réel au moins une alerte (A) émise par le bloc de jonction (30) lorsqu’au moins un signal d’entrée (I) collecté par le bloc de jonction (30) n’est pas conforme aux règles génériques (R) et exporter vers un système tiers l’au moins une alerte (A), ou recevoir en temps réel une pluralité de signaux d’entrée (I) collectés par une pluralité de blocs de jonction (30), et émettre au moins une alerte (A) si au moins un parmi lesdits signaux d’entrée (I) contrevient à au moins une règle de détection intégrée au module de tête (40). Système de surveillance (1) selon la revendication précédente, configuré pour interrompre les signaux de données échangés entre l’au moins un contrôleur (10) et l’au moins un composant physique (20), lorsqu’au moins un signal d’entrée (I) collecté par au moins un bloc de jonction (30) n’est pas conforme aux règles génériques (R) dudit au moins un bloc de jonction (30). Système de surveillance (1) selon l’une quelconque des deux revendications précédentes, dans lequel le module de tête (40) est configuré pour communiquer l’au moins un signal d’entrée (I) à l’origine de l’au moins une alerte (A), dans un format de données, au système tiers (3). Système de surveillance (1) selon l’une quelconque des revendications 5 à 7, dans lequel le module de tête (40) comprend un microprocesseur configuré pour corréler les données échangées entre l’au moins un contrôleur (10) et l’au moins un composant physique (20), et pour transmettre ces données corrélées à un algorithme d’intelligence artificielle exécutable par le microprocesseur et/ou le système tiers (3), ledit algorithme d’intelligence artificielle étant configuré pour déceler de faibles dérives de fonctionnement du système automatisé (2). Système de surveillance (1) selon l’une quelconque des revendications 5 à 8, dans lequel le module de tête (40) comprend une horloge (42). Procédé de surveillance d’un système automatisé (2) utilisant le système de surveillance (1) selon l’une quelconque des revendications 5 à 9, comprenant : une collection (102) par l’au moins un bloc de jonction (30) d’au moins un signal d’entrée (I) émis par l’au moins un contrôleur (10) et/ou l’au moins un composant physique (20), et une évaluation (104) en temps réel d’une conformité de l’au moins un signal d’entrée (I) vis-à-vis des règles génériques (R). Procédé de surveillance du système automatisé (2) selon la revendication précédente, comprenant en outre : une émission (105) en temps réel d’au moins une alerte (A) par l’au moins un bloc de jonction (30) à destination du module de tête (40), lorsqu’au moins un signal d’entrée (I) est évalué non conforme aux règles génériques (R), ou une transmission (107) en temps réel de l’au moins un signal d’entrée (I) collecté par l’au moins un bloc de jonction (30), à destination du module de tête (40). Procédé de surveillance d’un système automatisé (2) selon l’une quelconque des deux revendications précédentes, comprenant en outre une synchronisation (101) à l’aide de l’horloge (42) du module de tête (40), entre l’au moins un bloc de jonction (30) et le module de tête (40) avant la collection (102) par l’au moins un bloc de jonction (30) de l’au moins un signal d’entrée (I). Procédé de surveillance d’un système automatisé (2) selon l’une quelconque des revendications 10 à 12, comprenant en outre une interruption (106) des signaux de données échangés entre le contrôleur (10) et l’au moins un composant physique (20), lorsqu’au moins un signal d’entrée (I) est évalué non conforme aux règles génériques (R) par l’au moins un bloc de jonction (30). Procédé de surveillance d’un système automatisé (2) selon l’une quelconque des revendications 10 à 13, comprenant en outre une communication (109) par le module de tête (40) de l’au moins une alerte (A) et l’au moins un signal d’entrée (I) collecté, dans un format de données à au moins un système tiers (3).