FR 3017508 A1 20150814 FR 1400371 A 20140211 17508 1 Système et procédé d'échange de données L'invention concerne un système d'échange de données entre un premier réseau sécurisé et un deuxième réseau d'un niveau de sécurité plus faible que le premier réseau sécurisé ou d'un niveau de sécurité inconnu, ledit système comprenant une première chaîne de transmission de données depuis ledit premier réseau sécurisé à destination dudit deuxième réseau, et une deuxième chaîne de transmission de données depuis ledit deuxième réseau à destination dudit premier réseau sécurisé, ladite deuxième chaîne comprenant des moyens de filtrage de données transmises depuis ledit deuxième réseau à destination dudit premier réseau sécurisé. Elle s'applique en particulier à l'échange de données dans un système embarqué sur une plate-forme telle qu'un véhicule terrestre, nautique ou aérien, entre un réseau sécurisé et un réseau soit de niveau de sécurité plus faible que le premier réseau sécurisé (c'est-à-dire que tout ou partie du deuxième réseau présente un niveau de sécurité plus faible que le premier réseau) soit de niveau de sécurité inconnu (c'est-à-dire que tout ou partie du deuxième réseau présente un niveau de sécurité inconnu). Le réseau sécurisé est appelé segment plate-forme. Ce réseau est dit sécurisé en raison du fait qu'il est constitué de matériels et logiciels spécifiquement développés ou adaptés pour être intégrés à la plate-forme et qualifiés et/ou certifiés pour leur utilisation sur cette plate-forme. Par exemple, si la plate-forme est un aéronef civil, le segment plate-forme correspond au domaine avionique, et comprend des calculateurs avioniques dédiés aux commandes de vol. Dans le cas d'un aéronef de combat, le segment plate-forme comprend également des systèmes d'armement. Le réseau de niveau de sécurité soit plus faible soit inconnu, appelé segment ouvert, inclut des matériels et des logiciels non spécifiques, de gamme industrielle voire grand public. Le segment ouvert offre notamment une souplesse d'adaptation rapide et simple à des besoins spécifiques du contexte d'exploitation, notamment pour l'affichage de cartes, d'informations météorologiques, pour la communication avec l'extérieur de la plate-forme ou encore pour le divertissement des passagers d'un aéronef de transport civil. En raison de problématiques de certification et de qualification du système embarqué, la connexion du segment ouvert au segment plate-forme à des fins d'échange d'informations doit préserver les acquis de la plate-forme en termes de sûreté de fonctionnement, de capacités fonctionnelles et de sécurité des systèmes d'informations (SSI). Il est notamment souhaitable de maîtriser les échanges de données entre le segment plate-forme et le segment ouvert afin de garantir l'intégrité et la disponibilité des fonctions du segment plate-forme, notamment pour protéger le segment plate-forme d'éventuelles attaques malveillantes, et pour garantir la confidentialité des données qui le nécessitent. Afin de protéger le segment plate-forme d'éventuelles attaques malveillantes, il est connu de limiter l'échange de données entre le segment plate-forme et le segment ouvert à la seule transmission de données depuis le segment plate-forme vers le segment ouvert, aucune donnée n'étant autorisée à transiter depuis le segment ouvert vers le segment plate-forme. Or, un échange bidirectionnel de données entre le segment plate-forme et le segment ouvert est souhaitable afin d'étendre les fonctionnalités du système dans son ensemble, par exemple pour charger des bases de données dans le segment plate-forme depuis le segment ouvert, y entrer tout ou partie d'un plan de navigation ou autres données de mission, et dans l'autre sens pour récupérer des données depuis le segment plate-forme, par exemple des données relatives à la navigation, des informations de trafic, des données météorologiques ou des images de caméra. On entend par « transmission » de données le transfert monodirectionnel de données, c'est dire soit du segment plate-forme vers le segment ouvert soit du segment ouvert vers le segment plate-forme. On entend par « échange » de données le transfert des données, du segment plate-forme vers le segment ouvert d'une part et du segment ouvert vers le segment plate-forme d'autre part. Pour résoudre ce problème, on connaît du document FR 2 917 206-Al un système comprenant un dispositif de sécurité pour la transmission de données depuis le segment ouvert à destination du domaine avionique. Par ailleurs ce document décrit également une liaison monodirectionnelle de transmission de données depuis le domaine avionique vers le segment ouvert Néanmoins, ce système ne permet pas de prévenir entièrement les risques d'attaques malveillantes du domaine avionique par le segment ouvert. En particulier, ce système n'est pas apte à traiter le risque associé à l'exploitation fonctionnelle par le domaine avionique de données dont la valeur est erronée, par malveillance ou du fait d'une sûreté de fonctionnement moindre du segment ouvert. En outre, ce système protège uniquement la transmission de données depuis le domaine ouvert vers le domaine avionique, la transmission de données dans l'autre sens restant libre de toute contrainte de sécurité. Ce système ne garantit donc pas la confidentialité des informations émises par le domaine avionique, et ne permet pas d'empêcher l'envoi de données sensibles au segment ouvert, susceptibles de permettre à un utilisateur malveillant d'en déduire des scénarios d'attaque du domaine avionique. Par ailleurs, le dispositif de sécurité selon le document FR 2 917 206-Al comprend un module de contrôle centralisé pilotant l'ensemble du dispositif. Ce module de contrôle peut donc constituer un cheminement des données du segment ouvert vers le domaine avionique, parallèle au cheminement sécurisé recherché. De plus ce positionnement rend le module de contrôle potentiellement vulnérable à des attaques venant du segment ouvert, alors que son rôle est le pilotage de l'ensemble du dispositif de sécurité. L'invention a donc pour but de proposer un système de transmission de données entre un premier réseau sécurisé et un deuxième réseau d'un niveau de sécurité plus faible ou d'un niveau de sécurité inconnu, qui assure de manière efficace la sécurité du premier réseau sécurisé et la confidentialité des données qui le nécessitent. A cet effet, l'invention a pour objet un système d'échange de données du type précité, caractérisé en ce que lesdits moyens de filtrage comprennent un module de contrôle de cohérence, propre à vérifier si lesdites données sont cohérentes avec des données attendues par ledit premier réseau sécurisé, et à autoriser la transmission desdites données vers ledit premier réseau sécurisé si lesdites données sont cohérentes et à interdire la transmission desdites données vers ledit premier réseau sécurisé si lesdites données ne sont pas cohérentes. Le système d'échange selon l'invention comporte également les caractéristiques suivantes, prises séparément ou en combinaison : - le module de contrôle de cohérence est propre à identifier les données devant faire l'objet d'une validation complémentaire par un opérateur pour être considérées comme cohérentes, à transmettre ces données à l'opérateur pour validation, et à autoriser la transmission desdites données vers ledit premier réseau sécurisé si lesdites données sont validées par l'opérateur et à interdire la transmission desdites données vers ledit premier réseau sécurisé si lesdites données ne sont pas validées par l'opérateur ; - ledit module de contrôle de cohérence est propre à vérifier si la valeur desdites données appartient à un ensemble prédéterminé de valeurs attendues pour lesdites données et/ou si le comportement dynamique de la valeur desdites données appartient bien à un ensemble prédéterminé de comportements dynamiques attendus pour lesdites données ; - lesdites première et deuxième chaînes forment un anneau monodirectionnel pour l'échange de données entre ledit premier réseau sécurisé et ledit deuxième réseau et pour l'échange de données internes ; - ledit module de contrôle de cohérence est interposé, sur ladite deuxième chaîne, entre ledit premier réseau sécurisé et ledit deuxième réseau, de telle sorte que toute donnée transmise depuis ledit deuxième réseau à destination dudit premier réseau sécurisé transite par ledit module de contrôle de cohérence ; - lesdits moyens de filtrage comprennent un module de filtrage de données, propre à analyser lesdites données pour déterminer si lesdites données sont autorisées à être transmises audit premier réseau sécurisé, à transmettre lesdites données vers ledit premier réseau sécurisé si lesdites données sont autorisées à être transmises audit premier réseau sécurisé et à interdire la transmission desdites données vers ledit premier réseau sécurisé si lesdites données ne sont pas autorisées à être transmises au audit premier réseau sécurisé ; - ledit module de filtrage de données est interposé sur ladite deuxième chaîne entre ledit deuxième réseau et ledit module de contrôle de cohérence, et ladite deuxième chaîne comprend un commutateur propre à interdire la transmission desdites données depuis ledit module de filtrage de données vers ledit module de contrôle de cohérence tant que lesdites données n'ont pas été jugées par ledit module de filtrage de données comme autorisées à être transmises audit premier réseau sécurisé ; - le système comprend des moyens d'identification et d'authentification dudit deuxième réseau et d'un opérateur opérant depuis ledit deuxième réseau, lesdits moyens d'identification et d'authentification étant propres à interdire tout échange de données entre ledit système d'échange et ledit deuxième réseau si ledit opérateur et/ou ledit deuxième réseau sont jugés par lesdits moyens d'identification et d'authentification comme non autorisés à échanger des données avec ledit premier réseau sécurisé ; - ladite première chaîne comprend des moyens de protection de données transmises depuis ledit premier réseau sécurisé à destination dudit deuxième réseau ; - lesdits moyens de protection comprennent un module de filtrage de données, propre à analyser lesdites données pour déterminer si lesdites données sont autorisées à être transmises audit deuxième réseau, et à autoriser la transmission desdites données vers ledit deuxième réseau si lesdites données sont autorisées et à interdire la transmission desdites données vers ledit deuxième réseau si lesdites données ne sont pas autorisées ; - lesdits moyens de protection comportent un module de protection cryptographique, apte à appliquer une protection cryptographique à des données transmises depuis ledit premier réseau sécurisé à destination dudit deuxième réseau ; - ledit module de filtrage de données est propre à analyser les données autorisées pour déterminer, en fonction de ladite deuxième politique de sécurité prédéterminée, si lesdites données doivent être protégées avant d'être transmises vers ledit deuxième réseau, et à aiguiller lesdites données vers ledit module de protection cryptographique uniquement si lesdites données doivent être protégées avant d'être transmises vers ledit deuxième réseau ; - ledit premier réseau sécurisé est un segment plate-forme d'un aéronef, et ledit deuxième réseau est un segment ouvert dudit aéronef. L'invention a également pour objet un aéronef comprenant un segment plate-forme et un segment ouvert, caractérisé en ce qu'il comprend un système d'échange de données selon l'invention embarqué dans ledit aéronef pour l'échange de toute donnée entre ledit segment plate-forme et ledit segment ouvert. L'invention a également pour objet un procédé d'échange de données entre un premier réseau sécurisé et un deuxième réseau d'un niveau de sécurité plus faible que le premier réseau sécurisé ou d'un niveau de sécurité inconnu, caractérisé en ce qu'il comprend les étapes suivantes : - fourniture d'un système tel que défini plus haut, - lors d'une transmission de données depuis ledit deuxième réseau à destination dudit premier réseau sécurisé à travers ladite deuxième chaîne de transmission de données, un filtrage desdites données, ledit filtrage comprenant une phase de contrôle de cohérence desdites données, lors de laquelle ledit module de cohérence vérifie si lesdites données sont cohérentes avec des données attendues par ledit premier réseau sécurisé, et autorise la transmission desdites données vers ledit premier réseau sécurisé si lesdites données sont cohérentes ou interdit la transmission desdites données vers ledit premier réseau sécurisé si lesdites données ne sont pas cohérentes. L'invention sera davantage comprise au regard d'exemples de réalisation de l'invention qui vont maintenant être décrits en faisant référence aux figures annexées parmi lesquelles : - la Figure 1 est un schéma d'un système d'échange de données selon un premier mode de réalisation de l'invention ; - la Figure 2 est un schéma synoptique illustrant des étapes du procédé selon un mode de réalisation de l'invention, mises en oeuvre par le système d'échange de données de la figure 1 ; - la Figure 3 est un schéma d'un système d'échange de données selon un deuxième mode de réalisation de l'invention, et - la Figure 4 est un schéma d'un système d'échange de données selon un troisième mode de réalisation de l'invention. On a illustré sur la Figure 1 un système 1 d'échange de données selon un mode de réalisation de l'invention pour l'échange de données entre un premier réseau 3 et un deuxième réseau 5, le deuxième réseau 5 étant d'un niveau de sécurité soit plus faible que le premier réseau 3 soit inconnu. Le premier réseau sécurisé 3 et le deuxième réseau 5 sont par exemple deux réseaux d'un système embarqué sur une plate-forme telle qu'un véhicule terrestre, nautique ou aérien. Le premier réseau 3, appelé par la suite segment plate-forme, est un réseau sécurisé. Le deuxième réseau 5, par la suite appelé segment ouvert, est soit de niveau de sécurité plus faible que le premier réseau (c'est-à-dire que tout ou partie du deuxième réseau 5 présente un niveau de sécurité plus faible que le premier réseau 3) soit de niveau de sécurité inconnu (c'est-à-dire que tout ou partie du deuxième réseau 5 présente un niveau de sécurité inconnu). En particulier, le segment ouvert 5 peut être accessible à tout opérateur, et peut comprendre des composants grand public et être implémenté selon des standards non spécifiques ou non adaptés au segment plate-forme. Par exemple, la plate-forme considérée est un aéronef, le segment plate-forme 3 correspond à l'avionique de cet aéronef, et le segment ouvert 5 est un calculateur avec un réseau local Ethernet embarqué dans l'aéronef, apte à communiquer, notamment via une liaison directe radio ou satellite, avec un système d'information au sol. Le système 1 d'échange est en coupure entre le segment plate-forme 3 et le segment ouvert 5, de telle sorte que toutes les données échangées entre le segment plate-forme 3 et le segment ouvert 5 passent obligatoirement par le système 1 d'échange de données. Le système d'échange de données 1 comprend des moyens de transmission de données du segment plate-forme 3 vers le segment ouvert 5 d'une part et des moyens de transmission de données du segment ouvert 5 vers le segment plate-forme 3. Le système d'échange de données 1 comprend ainsi une première chaîne monodirectionnelle 7 de transmission de données depuis le segment plate-forme 3 à destination du segment ouvert 5, et une deuxième chaîne monodirectionnelle 9 de transmission de données depuis le segment ouvert 5 à destination du segment plate-forme 3 La première chaîne 7 comprend des moyens de protection de données transmises depuis le segment plate-forme 3 à destination du segment ouvert 5. En particulier, la première chaîne 7 est propre à filtrer les données afin de restreindre l'envoi des données du segment plate-forme 3 aux données autorisées, et de protéger les données qui le nécessitent, conformément à une politique de sécurité prédéfinie. La première chaîne 7 comprend également des moyens permettant aux données de ne circuler exclusivement que dans le sens sortant, c'est-à-dire vers le segment ouvert 5. La deuxième chaîne 9 comprend des moyens de transmission sécurisée des données depuis le segment ouvert 5 à destination du segment plate-forme 3. Sur la deuxième chaîne 9, les données circulent exclusivement dans le sens entrant, c'est-à-dire vers le segment plate-forme 3. En particulier, la deuxième chaîne 9 comprend des moyens de filtrage des données transmises depuis le segment ouvert 5 à destination du segment plate-forme 3, ainsi que des moyens 38 de contrôle/validation de données par l'opérateur et des moyens 33 d'isolement permanent des segments 3 et 5. Ces moyens de filtrage sont propres à contrôler, par des mécanismes d'identification et d'authentification, l'accès au segment plate-forme 3, et à interdire la transmission de données par un opérateur ou par un segment ouvert non autorisé. Ces moyens de filtrage sont par ailleurs propres à ne laisser passer que des données autorisées, à vérifier si ces données sont cohérentes avec des données attendues par le segment plate-forme 3, et à autoriser la transmission des données vers le segment plate- forme 3 si les données sont cohérentes et à interdire la transmission des données vers le segment plate-forme 3 si les données ne sont pas cohérentes. Ces moyens de filtrage sont également propres à permettre un contrôle de données par l'opérateur, afin qu'il puisse valider manuellement par les moyens 38 ces données pour permettre leur transmission vers le segment plate-forme, ou qu'il puisse les invalider et interdire ainsi leur transmission vers le segment plateforme. A cette fin, les première 7 et deuxième 9 chaînes comportent un premier module 13 de couplage du segment plate-forme 3 au système d'échange de données 1, et un deuxième module 15 de couplage du segment ouvert 5 au système d'échange de données 1. Chacun des premier 13 et deuxième 15 modules de couplage est commun aux première et deuxième chaînes 7 et 9. La première chaîne 7 comprend par ailleurs un module de filtrage 21 de données, appelé par la suite premier module de filtrage 21, un module de protection cryptographique 23, et une diode monodirectionnelle 25. Le premier module de filtrage 21, le module de protection cryptographique 23 et la diode 25 sont connectés en série entre le premier module de couplage 13 et le deuxième module de couplage 15. En particulier, le premier module de couplage 13 comprend une première entrée 13a, connectée au segment plate-forme 3, une deuxième entrée 13b, une première sortie 13c connectée au segment plate-forme 3, et une deuxième sortie 13d. Le premier module de filtrage 21 comprend une entrée 21a, connectée à la deuxième sortie 13d du premier module de couplage 13, une première sortie 21b et une deuxième 21c sortie. Le module de protection cryptographique 23 comprend une entrée 23a, connectée à la première sortie 21b du premier module de filtrage 21, et une sortie 23b. La diode 25 comprend deux entrées 25a, 25b, respectivement connectées à la sortie 23b du module de protection cryptographique 23 et à la deuxième sortie 21c du premier module de filtrage 21, et une sortie 25c. Le deuxième module de couplage 15 comprend une première entrée 15a, connectée à la sortie 25c de la diode 25, une deuxième entrée 15b connectée au segment ouvert 5, une première sortie 15c connectée au segment ouvert 5 et une deuxième sortie 15d. La deuxième chaîne 9 comprend, outre les premier et deuxième modules 13 et 15 de couplage, un module de filtrage 31 de données, appelé par la suite deuxième module de filtrage 31, un commutateur 33, un premier module tampon 35 de stockage de données, un module de contrôle de cohérence 37 et un deuxième module tampon 39 de stockage de données. Le deuxième module de filtrage 31, le commutateur 33, le module de contrôle de cohérence 37 et le deuxième module tampon 39 de stockage de données sont connectés en série entre le deuxième module de couplage 15 et le premier module de couplage 13. En particulier, le deuxième module de filtrage 31 comprend une entrée 31a, connectée à la deuxième sortie 15d du deuxième module de couplage 15, et une sortie 31b. Le commutateur 33 comprend une entrée 33a, connectée à la sortie 31b du deuxième module de filtrage 31, une sortie 33b, et une entrée/sortie 33c. Le module de contrôle de cohérence 37 comprend une entrée 37a connectée à la sortie 33b du commutateur 33 et une sortie 37b. Le deuxième module tampon 39 comprend une entrée 39a connectée à la sortie 37b du module de contrôle de cohérence 37 et une sortie 39b connectée à la deuxième entrée 13b du premier module de filtrage 21. Le premier module tampon 35 de stockage de données est connecté à l'entrée/sortie 33c du commutateur 33. Ainsi, les première et deuxième chaînes 7 et 9 forment un anneau monodirectionnel pour l'échange de données entre le segment plate-forme 3 et le segment ouvert 5. En particulier, la première chaîne 7 ne contient aucun module central qui serait connecté à l'ensemble des autres modules de la première chaîne 7. De même, la deuxième chaîne 9 ne contient aucun module central qui serait connecté à l'ensemble des autres modules de la deuxième chaîne 9. Le système 1 d'échange ne comprend par ailleurs aucun module central qui piloterait les première et deuxième chaînes 7 et 9. Ainsi, le système 1 ne comprend aucun cheminement d'échanges non désirés (i.e. aucun court- circuit ou « bypass ») entre le segment plate-forme 3 et le segment ouvert 5. Ces première et deuxième chaînes 7 et 9 forment également un anneau monodirectionnel pour l'envoi de données de fonctionnement aux modules du système 1. Ces données à destination d'un module du système 1 proviennent soit d'un autre module du système 1 soit des segments 3 et 5 et sont soumis aux mêmes traitements que les autres données. Par la suite on qualifiera de « données internes » ces données qui sont à destination d'un module interne au système (par exemple des états ou informations d'événements échangés entre modules). Ainsi, les données qui circulent sur la chaîne 7 sont à destination soit du segment ouvert 5, soit d'un module interne et les données qui circulent sur la chaîne 9 sont à destination soit du segment plate-forme 3, soit d'un module interne. Le premier module de couplage 13 assure le couplage du segment plate-forme 3 au système 1 d'échange de données. Notamment, le premier module de couplage 13 est propre à mettre en place et à contrôler un protocole de connexion et d'échange d'information avec le segment plate- forme 3. Le premier module de couplage 13 est propre à recevoir des données provenant du module tampon 39 (par exemple des données internes) ou des données issues du segment plate-forme 3 et à transmettre ces données au premier module de filtrage 21. En outre, lorsque ces données sont sous la forme de signaux analogiques, le premier module de couplage 13 est propre à convertir ces signaux analogiques en flux de données transmissibles à travers le système 1, selon un protocole prédéfini, avant leur transmission au premier module de filtrage 21. Par ailleurs, le premier module de couplage 13 est également propre à recevoir des données issues du deuxième module tampon 39, et à transmettre ces données issues du deuxième module tampon 39 au segment plate-forme 3 quand il s'agit de données à destination de ce segment 3. Le premier module de filtrage 21 est propre à recevoir des données issues du premier module de couplage 13, et à analyser ces données pour déterminer, en fonction de la politique de sécurité prédéfinie, si les données sont autorisées à être transmises au segment ouvert 5 ou si elles font partie des données internes autorisées à circuler au sein du système 1. Le premier module de filtrage 21 est également propre à déterminer, en fonction de la politique de sécurité prédéfinie, si les données autorisées à être transmises au segment ouvert 5 doivent être protégées avant cette transmission. Le système 1 est paramétré en cohérence avec une politique de sécurité prédéfinie, par exemple via le module de maintenance 40 décrit plus loin. Ainsi, le premier module de filtrage 21 comprend des moyens de paramétrage permettant de définir quelles données sont autorisées à être transmises depuis le segment plate-forme 3 au segment ouvert 5, quelles données nécessitent une protection cryptographique avant leur transmission vers le segment ouvert 5, et quelles données peuvent être transmises en clair, i.e. sans protection cryptographique, vers le segment ouvert 5. Le premier module de filtrage 21 est propre à interdire la transmission de données qui n'ont pas été autorisées vers le segment ouvert 5 ou vers un des modules du système 1 si ce sont des données internes. Le premier module de filtrage 21 est également propre à aiguiller les données autorisées vers le module de protection cryptographique 23, en vue de leur protection avant transmission vers le segment ouvert 5, si ces données autorisées doivent être protégées avant d'être transmises vers le segment ouvert 5, et à transmettre les données autorisées à la diode 25 s'il n'est pas jugé nécessaire de protéger ces données. Le premier module de filtrage 21 transmet ainsi les données autorisées soit au module de protection cryptographique 23, soit directement à la diode 25, mais ne transmet aucune donnée à la fois au module de protection cryptographique 23 et à la diode 25, ceci afin d'éviter de compromettre les caractéristiques de la protection appliquée par le module de protection cryptographique 23, par exemple une clé ou un algorithme de chiffrement utilisé par le module de protection cryptographique 23. Ainsi, le premier module de filtrage 21 est propre à empêcher la transmission vers le segment ouvert 5 de données sensibles, qui seraient susceptibles de fournir des renseignements permettant à un utilisateur malveillant d'en déduire des attaques du segment plate-forme 3. Le premier module de filtrage 21 est également propre à empêcher la transmission vers le segment ouvert 5 de données opérationnelles jugées confidentielles. Le module de protection cryptographique 23 est apte à recevoir des données issues du premier module de filtrage 21. Par ailleurs, le module de protection cryptographique 23 est apte à appliquer une protection cryptographique à ces données, par exemple un chiffrement, en vue de leur transmission vers le segment ouvert 5. Le module de protection cryptographique 23 est apte à transmettre les données protégées à la diode 25. La diode 25 est apte à assurer une transmission monodirectionnelle des données sur la première chaîne 7 entre soit le segment plate-forme 3 soit un des modules du système 1 si ce sont des données internes, et soit le segment ouvert 5 soit un des modules du système 1 si ce sont des données internes. La diode 25 est ainsi propre à autoriser exclusivement ces transmissions, en interdisant toute transmission de données sur la première chaîne 7 en sens inverse soit depuis le segment ouvert 5 soit depuis un des modules du système 1 si ce sont des données internes, vers le segment plate-forme 3. La diode 25 est avantageusement une diode physique. Une diode physique présente en effet un niveau de sécurité élevé. Le deuxième module de couplage 15 assure le couplage du système 1 d'échange au segment ouvert 5. Notamment, le deuxième module de couplage 15 est propre à mettre en place et à contrôler un protocole de connexion et d'échange d'informations avec le segment ouvert 5. Par ailleurs, le deuxième module de couplage 15 est propre à recevoir des données issues du segment plate-forme 3 ou des données internes via la diode 25, et à transmettre ces données soit au segment ouvert 5 soit au module 31 (par exemple s'il s'agit de données internes). Le deuxième module de couplage 15 est également propre à recevoir des données issues du segment ouvert 5 à destination soit du segment plate-forme 3 soit d'un module interne, et à transmettre ces données au deuxième module de filtrage 31. En outre, lorsque les données sont sous la forme de signaux analogiques, le deuxième module de couplage 15 est propre à convertir ces signaux analogiques en flux de données transmissibles à travers le système 1, selon un protocole prédéfini, avant leur transmission au deuxième module de filtrage 31. Par ailleurs, le deuxième module de couplage 15 est propre à permettre l'identification et l'authentification de l'opérateur du système 1 (par exemple via un identifiant et un mot de passe ou via une clé d'identification) et à contrôler l'accès au segment plate-forme 3 via le système 1, pour ne permettre un accès au segment plate- forme 3 via le système 1 d'échange qu'à un opérateur autorisé. Le deuxième module de couplage 15 est également propre à se connecter au segment ouvert 5 suivant un protocole de connexion au segment ouvert 5 prédéfini. En particulier, le deuxième module de couplage 15 est propre à procéder à une identification et une authentification du segment ouvert 5 depuis lequel la connexion est initiée, et à autoriser l'initialisation de cette connexion uniquement si le segment ouvert 5 y est effectivement autorisé. En outre, le deuxième module de couplage 15 est propre à vérifier que les identités de l'opérateur initialisant la connexion au système 1 d'échange de données et de l'opérateur connecté au segment ouvert 5 correspondent. Le deuxième module de couplage 15 est ainsi propre à interdire une connexion d'un opérateur ou d'un segment ouvert 5 non autorisé au système 1 d'échange de données, et à interdire une connexion d'un opérateur initiant une connexion au système 1 si l'identité de cet opérateur diffère de l'identité de l'opérateur connecté au segment ouvert 5. En outre, le deuxième module de couplage 15 est propre à vérifier la version et l'intégrité du pilote de connexion installé sur le segment ouvert 5, et à interdire une connexion du segment ouvert 5 au système 1 si une anomalie de version ou d'intégrité de ce pilote de connexion est détectée. Le deuxième module de filtrage 31 est propre à recevoir des données transmises par le deuxième module de couplage 15, et à analyser ces données pour déterminer, si ces données sont autorisées à être transmises au segment plate-forme 3 ou si elles font partie des données internes autorisées à circuler au sein du système 1. Notamment, le deuxième module de filtrage est propre à déterminer quel est le format des données, ce format étant contenu dans le message qui contient les données, afin de déterminer si ces données sont autorisées à être transmises au segment plate- forme 3. Le deuxième module de filtrage 31 ne transmet que les données qui sont autorisées à être transmises depuis le segment ouvert 5 au segment plate-forme 3 et que les données internes autorisées à circuler. De plus, le deuxième module de filtrage 31 est propre à vérifier l'intégrité des données. Par exemple, si les données sont transmises sous la forme de trames comprenant des codes de détection d'erreurs, la vérification de l'intégrité des données par le deuxième module de filtrage 31 est réalisée par vérification de ces codes de détection d'erreurs. Le deuxième module de filtrage 31 est ainsi propre à empêcher la transmission vers le segment plate-forme 3 de données non autorisées ou corrompues. Le commutateur 33 est propre à isoler le deuxième module de filtrage 31 du module de contrôle de cohérence 37, de telle sorte que le deuxième module de filtrage 31 ne soit jamais directement connecté au module de contrôle de cohérence 37, et à isoler ainsi en permanence les segments 3 et 5 sur la chaîne 9. Le commutateur 33 est avantageusement un commutateur physique, propre à isoler physiquement le deuxième module de filtrage 31 du module de contrôle de cohérence 37. Le commutateur 33 est propre à basculer entre une position de stockage et une position de transmission. La position de stockage est propre à isoler les modules du système 1 des données émises par le segment ouvert au plus près de leur réception par le coupleur 15 et de leur filtrage par le module 31, en évitant ainsi leur propagation dans le système 1. Elle correspond à la position de sécurité du commutateur. Dans la position de stockage, le commutateur 33 connecte le deuxième module de filtrage 31 au premier module tampon 35, et autorise ainsi la transmission de données depuis le deuxième module de filtrage 31 au premier module tampon 35. Dans cette position de stockage, le module de contrôle de cohérence 37 n'est connecté ni au deuxième module de filtrage 31 ni au premier module tampon 35. Dans la position de transmission, le commutateur 33 connecte le premier module tampon 35 au module de contrôle de cohérence 37, et autorise la transmission de données stockées dans le premier module tampon 35 vers le module de contrôle de cohérence 37. Dans la position de transmission, le deuxième module de filtrage 31 n'est connecté ni au premier module tampon 35 ni au module de contrôle de cohérence 37. Le premier module tampon 35 comprend une zone de stockage de données, propre à recevoir des données transmises par le deuxième module de filtrage 31 à travers le commutateur 33 lorsque le commutateur 33 est dans la position de stockage, et à stocker ces données. Le premier module tampon 35 est par ailleurs propre à transmettre les données stockées vers le module de contrôle de cohérence 37 à travers le commutateur 33 lorsque le commutateur 33 est dans la position de transmission. Le premier module tampon 35 est propre à effacer de façon sécurisée toute donnée stockée dans sa zone de stockage de données Le module de contrôle de cohérence 37 est propre à recevoir des données transmises par le premier module tampon 35 lorsque le commutateur 33 est dans la position de transmission. Le module de contrôle de cohérence 37 est par ailleurs propre à vérifier si les données sont cohérentes avec des données attendues par le segment plate-forme 3, et à autoriser la transmission des données vers le segment plate-forme 3 si les données sont cohérentes, et à interdire la transmission des données vers le segment plate-forme 3 si les données ne sont pas cohérentes. En particulier, le module de contrôle de cohérence 37 est propre à analyser les données pour déterminer de quelles données il s'agit, puis à contrôler que la valeur de ces données appartient à un ensemble prédéterminé de valeurs attendues pour ces données ou que le comportement dynamique de la valeur desdites données appartient bien à un ensemble prédéterminé de comportements dynamiques attendus pour lesdites données. Pour déterminer de quelles données il s'agit, le module de contrôle de cohérence 37 est propre à extraire du message qui contient la donnée le format de cette donnée.. A partir de ces informations, le module de contrôle de cohérence 37 est propre à effectuer la vérification de cohérence de valeur en utilisant les éléments dont il dispose, par exemple des tables de valeurs (par exemple de tables de chaînes de caractère), des domaines de variation possible (par exemple des domaines de variations de valeurs numériques), et en effectuant des calculs sur des valeurs reçues successivement d'une même donnée pour s'assurer que le comportement dynamique des valeurs est bien cohérent d'un ensemble prédéterminé de comportements dynamiques attendus pour lesdites données, y compris en utilisant des données transmises par le segment plate-forme au système 1 via les chaînes 7 et 9 jusqu'au module 37 (par exemple la localisation, les attitudes de l'aéronef ou encore des données d'état du segment plate-forme). Notamment, si les données sont des données numériques, le module de contrôle de cohérence 37 est propre à réaliser un contrôle statique de la valeur de ces données, c'est-à-dire à contrôler que la valeur de ces données correspond bien à une valeur attendue pour ces données. Par exemple, si les données correspondent à des coordonnées d'un objet au sol, le module de contrôle de cohérence 37 est propre à vérifier que la valeur de ces données correspond bien à des coordonnées qui sont au sol. Par ailleurs, le module de contrôle de cohérence 37 est propre à réaliser un contrôle du comportement dynamique de la valeur de ces données, c'est-à-dire à contrôler que l'évolution de la valeur de ces données correspond bien à une évolution attendue pour ces données. Par exemple, si les données sont relatives à la position d'un trafic, le module de contrôle de cohérence 37 est propre à vérifier que l'évolution de cette position est cohérente avec une évolution attendue. Si les données ne sont pas numériques, par exemple s'il s'agit de chaînes de caractères, le module de contrôle de cohérence 37 est propre vérifier que la valeur de ces données appartient à une liste prédéfinie de valeurs. Le module de contrôle de cohérence 37 est également propre à identifier celles de ces données devant faire l'objet d'une validation complémentaire par un opérateur (par exemple le pilote de l'avion) qui devra contrôler lui-même les données, si ces données sont préalablement identifiées comme nécessitant un tel contrôle ou si ces données ont une valeur préalablement identifiée comme nécessitant un tel contrôle. Ces données sont alors transmises à l'opérateur, en vue de leur validation, si l'opérateur juge que ces données sont cohérentes avec les données attendues, par appui sur une commande de validation prévue à cet effet. Le module de contrôle de cohérence 37 comprend ainsi des moyens de paramétrage permettant à un opérateur de définir quelles données et/ou quelles valeurs de données nécessitent une telle validation, qui peut par exemple être effectué via le module de maintenance 40. Par exemple si la précision attendue sur des données numériques transmises par le segment ouvert (par exemple coordonnées d'un point du sol) est plus importante que la précision de contrôle de cohérence effectué par le module 37, l'opérateur devra contrôler par un autre canal de vérification que ces données sont bien cohérentes des coordonnées attendues, par exemple en les comparants aux données sources avant qu'elles ne soient chargées dans le segment ouvert. Le module de contrôle de cohérence 37 permet ainsi de vérifier si les données sont cohérentes de l'exploitation fonctionnelle qui va en être faite par le segment plate- forme 3, afin de limiter les risques associés à une erreur sur cette valeur. Une telle erreur peut par exemple résulter d'une malveillance ou d'un dysfonctionnement du segment ouvert 5. Le module de contrôle de cohérence 37 est propre à transmettre les données qui sont autorisées à être transmises au deuxième module tampon 39. Le deuxième module tampon 39 comprend une zone de stockage de données, propre à recevoir des données transmises par le module de contrôle de cohérence 37, à stocker ces données, et à les transmettre au premier module de couplage 13. Chaque module du système 1 est propre à sauvegarder des informations relatives aux événements constatés par ce module dans une période donnée. Comme précédemment décrit, les première et deuxième chaînes 7 et 9 forment un anneau monodirectionnel pour l'échange de données. Ainsi, toute donnée à destination du segment ouvert 5 transite obligatoirement et exclusivement par la première chaîne 7, en transitant successivement par le premier module de couplage 13, le premier module de filtrage 21, la diode 25 (éventuellement via le module de protection cryptographique 23), et le deuxième module de couplage 15, avant d'être transmise au segment ouvert 5. De même, toute donnée à destination du segment plate-forme 3 transite obligatoirement et exclusivement par la deuxième chaîne 9, en transitant successivement par le deuxième module de couplage 15, le deuxième module de filtrage 31, le premier module tampon 35 via le commutateur 33, le module de contrôle de cohérence 37 via le commutateur 33, la deuxième module tampon 39 et le premier module de couplage 15. Les données internes effectuent le mêmes parcours et subissent les mêmes traitements que les autres données jusqu'à atteindre le module auquel elles sont destinées. Ainsi, bien qu'un module du système 1 ne puisse pas communiquer directement avec un autre module du système 1 qui ne lui est pas directement connecté, chaque module du système 1 est propre à communiquer avec tout autre module du système 1, via les modules du système 1 interposés entre ces modules, mais uniquement dans le sens de circulation des données autorisé, les données internes échangées étant alors soumises aux traitements réalisés par chaque module jusqu'à atteindre son module de destination Les opérations de maintenance et de paramétrage sur chacun des modules du système 1 d'échange sont effectuées au moyen d'un module de maintenance 40 propre à se connecter au deuxième module de couplage 15. Cette connexion n'est possible que si l'opérateur est authentifié comme ayant un rôle d'opérateur habilité à se connecter en mode maintenance. Elle n'est également possible que lorsqu'aucune connexion n'existe entre le segment ouvert 5 et le système 1, ni entre le segment plate-forme 3 et le système 1. Enfin lorsque le mode maintenance est opérationnel, toute connexion du système 1 avec l'extérieur est interdite, que ce soit avec le segment plate-forme 3 ou le segment ouvert 5. Ce module de maintenance 40 comprend des moyens d'interface avec un opérateur, permettant à cet opérateur de définir les politiques de sécurité des modules 21 et 37, et d'accéder à des informations relatives au fonctionnement du système 1. Ce module de maintenance 40 est propre à vérifier le bon fonctionnement de chacun des modules du système 1 et à réaliser des mises à jour des composants logiciels de ces modules. Ce module de maintenance 40 est également propre à paramétrer le premier module de filtrage 21 et le module de contrôle de cohérence 37 en fonction des politiques de sécurité prédéfinies Les événements liés à la sécurité ou à une anomalie de fonctionnement sont enregistrées horodatées dans un journal, par exemple les connexions des opérateurs au système 1, quels que soient leurs rôles, les connexions du segment ouvert 5, les anomalies de sécurité ou de fonctionnement. Le module de maintenance 40 est par ailleurs propre à permettre un audit de chacun des modules, en recevant de chaque module les informations relatives aux événements constatés par ce module dans une période donnée, et en permettant à l'opérateur autorisé de les consulter. On a représenté sur la Figure 3 les étapes mises en oeuvre par le système 1 pour l'échange de données. Afin de faciliter la lecture, les étapes d'échange de données décrites ci-après sont uniquement décrites dans le cas d'un échange de données entre le segment ouvert 5 et le segment plate-forme 3 mais il en va exactement de même des étapes de mise en oeuvre pour l'échange de données internes. Dans une étape 100 de démarrage du système 1, le commutateur 33 est commuté dans sa position de stockage, et les données éventuellement présentes dans les zones de stockage des premier et deuxième modules tampon 35 et 39 sont effacées. Puis, dans une étape 102 d'initialisation, une session est établie par un opérateur se connectant au système 1. Cette étape 102 d'initialisation comprend une phase 104 d'identification et d'authentification de l'opérateur, lors de laquelle le deuxième module de couplage 15 procède à une identification et une authentification de l'opérateur, et autorise l'initialisation de la connexion uniquement si l'opérateur y est effectivement autorisé par son rôle. Puis, lors d'une phase 106 de connexion au segment ouvert 5, le deuxième module de couplage 15 se connecte au segment ouvert 5 suivant le protocole prédéfini. Lors de cette phase 106 de connexion, le deuxième module de couplage 15 se connecte au segment ouvert 5 suivant le protocole défini, il procède à une identification et à une authentification du segment ouvert 5 et vérifie notamment la version et l'intégrité du pilote installé sur le segment ouvert 5. En outre, le deuxième module de couplage 15 vérifie que les identités de l'opérateur connecté au système 1 et de l'opérateur connecté au segment ouvert 5 correspondent. Si le deuxième module de couplage 15 ne constate aucune anomalie, le deuxième module de couplage 15 met en oeuvre lors de la phase 106 un protocole d'échange avec le segment ouvert 5. Le segment ouvert 5 est alors propre à échanger des données avec le système 1. Par ailleurs, lors d'une phase 108 de connexion au segment plate-forme 3, le premier module de couplage 13 se connecte au segment plate-forme 3 suivant le protocole prédéfini, différent du protocole de connexion entre le second module de couplage 15 et le segment ouvert 5, et contrôle le bon fonctionnement de ce protocole. Le segment plate-forme 3 est alors propre à échanger des données avec le système 1, de telle sorte que le système permet alors l'échange de données entre le segment ouvert 5 et le segment plate-forme 3. En particulier, le segment ouvert 5 est propre à transmettre des données à destination du segment plate-forme 3 selon une étape 110 à travers la deuxième chaîne 9, et le segment plate-forme 3 est propre à transmettre des données à destination du segment ouvert 5 via la première chaîne 7 selon une étape 112. Si lors de l'une des phases 104, 106 ou 108 une anomalie de fonctionnement ou de sécurité est constatée par un des modules, l'anomalie est enregistrée et horodatée dans un journal. De plus, le module concerné transmet l'information d'anomalie aux autres modules du système 1, dans l'ordre imposé par le sens de circulation des données des chaînes 9 puis 7, ainsi qu'à l'opérateur, afin que les mesures prévues par la politique de sécurité pour l'anomalie constatée soient appliquées, par exemple qu'aucune connexion ne puisse être établie ni entre le segment ouvert 5 et le système 1 d'échange de données d'une part, ni entre le segment plate-forme 3 et le système 1 d'échange de données d'autre part, et que chaque connexion éventuellement déjà engagée soit alors interrompue, que les données des modules tampon 35 et 39 soient effacées de façon sécurisée, que le module de commutation soit positionné en position de stockage, avec ou sans décision et intervention de l'opérateur. En particulier, si le deuxième module de couplage 15 constate que l'opérateur ou le segment ouvert n'est pas autorisé à initier une connexion, que l'identité de l'opérateur initiant la connexion diffère de l'identité de l'opérateur connecté au segment ouvert 5, ou qu'il existe une anomalie de version ou d'intégrité du pilote de connexion au segment ouvert 5, le deuxième module de couplage 15 interdit la connexion du segment ouvert 5 au système 1, enregistre cet événement, et en informe l'opérateur. L'étape 110 de transmission de données issues du segment ouvert 5 à destination du segment plate-forme 3 comprend une phase 114 lors de laquelle le deuxième module de couplage 15 reçoit les données et les transmet au deuxième module de filtrage 33. Si ces données sont sous la forme de signaux analogiques, le deuxième module de couplage 15 convertit ces signaux analogiques, avant leur transmission au deuxième module de filtrage 33, en flux de données transmissibles à travers le système 1. Puis, lors d'une phase 116, le deuxième module de filtrage 31 reçoit les données transmises par le deuxième module de couplage 15, et analyse ces données pour déterminer si ces données sont autorisées à être transmises au segment plate-forme 3. En particulier, le deuxième module de filtrage 31 identifie et authentifie les données et leurs applications sources, vérifie l'intégrité des données, et vérifie le format de ces données. Lors de la phase 116, si le deuxième module de filtrage 31 constate qu'au moins une donnée n'est pas prévue d'être transmise au segment plate-forme 3, ou est corrompue, le deuxième module de filtrage 31 empêche la transmission des données vers le segment plate-forme 3. Dans le cas contraire, le deuxième module de filtrage 31 transmet les données au premier module tampon 35 via le commutateur 33. Puis, lors d'une phase 118, le premier module tampon 35 reçoit les données transmises par le deuxième module de filtrage 31 et stocke ces données sur sa zone de stockage. Par ailleurs, lors de cette phase 118, si la politique de sécurité le prévoit, le deuxième module de filtrage 31 vérifie l'absence de codes malicieux sur les données stockées sur le premier module tampon 35. Puis, si aucun code malicieux n'est détecté par le deuxième module de filtrage 31 sur les données stockées sur le premier module tampon 35, le deuxième module de filtrage 31 commande lors d'une phase 120 la commutation du commutateur 33 dans sa position de transmission. Si lors de l'une des phases 116 ou 118, une anomalie de fonctionnement ou de sécurité est constatée par le deuxième module de filtrage 31, l'anomalie est enregistrée et horodatée dans un journal. Par ailleurs, le deuxième module de filtrage 31 transmet l'information d'anomalie aux autres modules du système 1 dans l'ordre imposé par le sens de circulation des données des chaînes 9 puis 7, ainsi qu'à l'opérateur, afin que les mesures prévues par la politique de sécurité pour l'anomalie constatée soient appliquées. Il s'agit par exemple d'une interruption de la transmission de données depuis le segment ouvert 5 par le second module de filtrage 31 lui-même, et/ou d'un effacement sécurisé des modules tampon 35 et 39, et/ou d'un positionnement du module de commutation en position de stockage, et/ou d'une interruption par le second module de couplage 15 de la connexion du système 1 au segment ouvert 5, et/ou d'une interruption par le premier module de couplage 13 de la connexion du système 1 au segment plate-forme 3, avec ou sans décision et intervention de l'opérateur.. Lors d'une phase 122 de contrôle des données, le module de contrôle de cohérence 37 reçoit les données stockées dans le premier module tampon 35, via le commutateur 33 qui est dans la position de transmission. Le module de contrôle de cohérence 37 vérifie alors si les données sont cohérentes avec des données attendues par le segment plate-forme 3. En particulier, le module de contrôle de cohérence 37 analyse les données pour déterminer de quelles données il s'agit, puis contrôle que la valeur de ces données appartient à un ensemble prédéterminé de valeurs attendues pour ces données. Cet ensemble prédéterminé de valeurs comprend par exemple des valeurs numériques continues et/ou discrètes, et/ou une liste de chaînes de caractères. Notamment, si les données sont des données numériques, le module de contrôle de cohérence 37 réalise un contrôle statique de la valeur de ces données, en contrôlant que la valeur de ces données correspond bien à une valeur attendue pour ces données. Par ailleurs, le module de contrôle de cohérence 37 réalise un contrôle du comportement dynamique de la valeur de ces données, c'est-à-dire contrôle que l'évolution de la valeur de ces données correspond bien à une évolution attendue pour ces données. Si les données ne sont pas des données numériques, par exemple s'il s'agit de chaînes de caractères, le module de contrôle de cohérence 37 vérifie que la valeur de ces données appartient à une liste prédéfinie de valeurs. Si le module de contrôle de cohérence 37 constate que les données sont préalablement identifiées comme nécessitant un contrôle d'un opérateur, ou que la valeur des données nécessite un contrôle d'un opérateur, le module de contrôle de cohérence 37 transmet ces données à l'opérateur pour contrôle et validation. Si le module de contrôle de cohérence 37 ou l'opérateur constate que la valeur des données appartient bien à l'ensemble prédéterminé de valeurs attendues pour ces données, les données sont jugées cohérentes avec l'exploitation fonctionnelle prévue pour ces données. Si les données sont cohérentes, éventuellement après validation complémentaire par l'opérateur, le module de contrôle de cohérence 37 transmet ces données au deuxième module tampon 39. À 21 Lorsque le module tampon 35 a transmis toutes les données au module de contrôle de cohérence 37, le module de contrôle de cohérence 37 commande, via les modules 39 13, 21, 25, 15, 31, la commutation du commutateur 33 qui passe dans sa position de stockage, et l'effacement sécurisé des données stockées par le premier module tampon 35. Dans le cas contraire, ou en cas d'anomalie de fonctionnement, l'anomalie est enregistrée et horodatée dans un journal. Par ailleurs, le module 37 transmet l'information d'anomalie aux autres modules du système 1 dans l'ordre imposé par les sens de circulation des données des chaînes 9 puis 7, ainsi qu'à l'opérateur, afin que les mesures prévues par la politique de sécurité pour l'anomalie constatée soient appliquées. Il s'agit par exemple d'une invalidation des données par le module 37 lui-même, et/ou d'une interruption de la transmission de données depuis le segment ouvert 5 par le second module de filtrage 31, et/ou d'un effacement sécurisé des module tampon 35 et 39, et/ou d'un positionnement du module de commutation en position de stockage, et/ou d'une interruption par le second module de couplage 15 de la connexion du système 1 au segment ouvert 5, et/ou d'une interruption par le premier module de couplage 13 de la connexion du système 1 au segment plate-forme 3, avec ou sans décision et intervention de l'opérateur. Lors d'une phase 124, le deuxième module tampon 39 reçoit les données transmises par le module de contrôle de cohérence 37, et stocke ces données sur sa zone de stockage. Puis, le deuxième module tampon 39 transmet lors d'une phase 126 les données au segment plate-forme 3 via le module de couplage 13. L'étape 112 de transmission de données issues du segment plate-forme 3 à destination du segment ouvert 5 comprend une phase 130 lors de laquelle le premier module de couplage 13 reçoit les données et les transmet au premier module de filtrage 31. Si ces données sont sous la forme de signaux analogiques, le premier module de couplage 13 convertit ces signaux analogiques, avant leur transmission au premier module de filtrage 31, en flux de données transmissibles à travers le système 1. Lors d'une phase 132 de filtrage, le premier module de filtrage 21 reçoit les données issues du premier module de couplage 13, et analyse ces données pour déterminer si ces données sont autorisées à être transmises au segment ouvert 5. Le premier module de filtrage 21 détermine également si les données autorisées à être transmises au segment ouvert 5, doivent être protégées avant cette transmission. Si le premier module de filtrage 21 juge que les données sont autorisées à être transmises au segment ouvert 5 sans qu'il soit nécessaire de leur appliquer une protection cryptographique, le premier module de filtrage 21 transmet ces données via la diode 25, au deuxième module de couplage 15. Si le premier module de filtrage 21 juge que les données sont autorisées à être transmises au segment ouvert 5 mais qu'il s'agit de données sensibles, i.e. nécessitant une protection cryptographique, le premier module de filtrage 21 transmet ces données au module de protection cryptographique 23. Si au contraire le premier module de filtrage 21 juge que les données ne sont pas autorisées à être transmises au segment ouvert 5, il bloque leur transmission, enregistre cet événement, et en informe l'opérateur. Lors d'une phase 134 de protection, le module de protection cryptographique 23 reçoit les données sensibles transmises par le premier module de filtrage 21, et applique à ces données une protection cryptographique, par exemple un chiffrement. Puis le module de protection cryptographique 23 transmet les données protégées, via la diode 25, au deuxième module de couplage 15. Lors d'une phase 136, le deuxième module de couplage 15 reçoit les données issues du segment plate-forme 3 à destination du segment ouvert 5, transmises par la diode 25, et transmet ces données au segment ouvert 5. Le système d'échange de données 1 selon l'invention permet ainsi un échange bidirectionnel d'informations entre le segment plate-forme 3 et le segment ouvert 5, tout en préservant le segment plate-forme 3 en terme d'intégrité et de disponibilité des fonctions qu'il assure, et en terme de niveau de confidentialité des informations qu'il héberge. Notamment, le contrôle systématique de la cohérence des données par le module de contrôle de cohérence 37 permet d'empêcher la transmission au segment plate-forme 3 de données dont la valeur est erronée, donc de réduire significativement le risque lié à l'exploitation potentielle de ces données par le segment plate-forme 3. Par ailleurs, le filtrage par le premier module de filtrage 21 des données permet de préserver la confidentialité des données du segment plate-forme 3, en interdisant la transmission au segment ouvert 5 de données confidentielles et en protégeant les données sensibles avant leur transmission au segment ouvert 5. En outre, la topologie en anneau du système 1 selon l'invention permet de s'assurer que l'ensemble des données passe bien par les mécanismes de sécurités prévus, dans le bon ordre, dans chaque sens de circulation. Cette topologie permet également d'empêcher les données de circuler sur des chemins parallèles entre le segment plate-forme 3 et le segment ouvert 5, non sécurisés, et de s'abstraire de tout module centralisé potentiellement source de vulnérabilités. En effet, chaque module peut communiquer avec tout autre module du système 1 sans qu'il soit nécessaire d'avoir recours à un module centralisé. Le positionnement du commutateur 33, entre le module 15 assurant le couplage du système 1 avec le segment ouvert 5 et le module de contrôle de cohérence 37 des données, permet de protéger le module de contrôle de cohérence 37. En effet, le commutateur 33 isole ainsi le module de contrôle de cohérence 37 du segment ouvert 5, et les données issues du segment ouvert 5 ne sont transmises au module de contrôle de cohérence 37 qu'après vérification de leur intégrité. Il est à noter que la diode 25 d'une part et le commutateur 33 d'autre part assurent ensemble une isolation permanente du segment plate-forme 3 vis-à-vis des données émises par le segment ouvert 5. Il devra toutefois être compris que les exemples de réalisation présentés ci-dessus ne sont pas limitatifs. On a ainsi illustré sur la Figure 3 un système d'échange de données 200 selon un deuxième mode de réalisation. Le système 200 est disposé en coupure entre un segment plate-forme 203 et deux segments ouverts distincts 205 et 205', et assure un échange sécurisé de données entre le segment plate-forme 203 et chacun des segments ouverts 205, 205'. Le système 200 comprend pour cela deux sous-systèmes 201 et 201' identiques, similaires au système 1 décrit en référence à la Figure 1, et disposés en parallèle. Chacun des sous-systèmes 201, 201' assure un échange sécurisé de données entre le segment plate-forme 203 et un segment ouvert 205 ou 205'. Les sous-systèmes 201 et 201' comprennent un premier module de couplage 213 commun à ces deux sous-systèmes 201 et 201'. Bien entendu, le système selon l'invention peut comprendre un nombre plus important de sous-systèmes, en fonction du nombre de segments ouverts distincts que l'on souhaite connecter au système. On a par ailleurs illustré sur la Figure 4 un système d'échange de données 300 selon un troisième mode de réalisation. Le système 300 est disposé en coupure entre un segment plate-forme 303, un segment ouvert 305 externe et un segment ouvert 305' interne. Le segment ouvert interne 305' est par exemple un segment utilisant des constituants matériels et logiciels de gamme industrielle voire grand public, donc non soumis aux même contraintes de sécurité que le segment plate-forme 303, et destiné au développement industriel du segment plate-forme 303 par exemple pour permettre le développement de fonctionnalités déjà développées et intégrées sur des constituants matériels et logiciels de gamme industrielle voire grand public, par l'industriel responsable du développement et de l'intégration du segment plate-forme, et d'améliorer ainsi l'efficience du développement, tout en maîtrisant le processus de développement et l'industrialisation. Le système 300 comprend un premier sous-système 301 assurant un échange sécurisé de données entre le segment plate-forme 303 et le segment ouvert externe 305. Le premier sous-système 301 est par exemple similaire au système 1 décrit en référence à la Figure 1. Le système 300 comprend un deuxième sous-système 301' assurant un échange sécurisé de données entre le segment plate-forme 303 et le segment ouvert interne 305'. Le deuxième sous-système 301' diffère du système 1 décrit en référence à la Figure 1 en ce que sa première branche 307', assurant la transmission des données dans le sens du segment plate-forme 303 au segment ouvert interne 305', ne comprend pas de module de protection cryptographique. Ainsi, toutes les données transmises du segment plate-forme 303 au segment ouvert interne 305' sont transmises en clair. Par ailleurs, les sous-systèmes 301 et 301' comprennent un premier module de couplage 313 commun à ces deux sous-systèmes 301 et 301'. REVENDICATIONS1.- Système (1) d'échange de données entre un premier réseau sécurisé (3) et un deuxième réseau (5) d'un niveau de sécurité plus faible que le premier réseau sécurisé (3) ou d'un niveau de sécurité inconnu, ledit système comprenant : une première chaîne (7) de transmission de données depuis ledit premier réseau sécurisé (3) à destination dudit deuxième réseau (5), et une deuxième chaîne (9) de transmission de données depuis ledit deuxième réseau (5) à destination dudit premier réseau sécurisé (3), ladite deuxième chaîne (9) comprenant des moyens de filtrage (31, 37) de données transmises depuis ledit deuxième réseau (5) à destination dudit premier réseau sécurisé (3), ledit système (1) d'échange étant caractérisé en ce que lesdits moyens de filtrage (31, 37) comprennent un module de contrôle de cohérence (37), propre à vérifier si lesdites données sont cohérentes avec des données attendues par ledit premier réseau sécurisé (3), et à autoriser la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données sont cohérentes et à interdire la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données ne sont pas cohérentes. 2.- Système (1) selon la revendication 1, caractérisé en ce que le module de contrôle de cohérence (37) est propre à identifier les données devant faire l'objet d'une validation complémentaire par un opérateur pour être considérées comme cohérentes, à transmettre ces données à l'opérateur pour validation, et à autoriser la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données sont validées par l'opérateur et à interdire la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données ne sont pas validées par l'opérateur. 3.- Système (1) selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que ledit module de contrôle de cohérence (37) est propre à vérifier si la valeur desdites données appartient à un ensemble prédéterminé de valeurs attendues pour lesdites données et/ou si le comportement dynamique de la valeur desdites données appartient bien à un ensemble prédéterminé de comportements dynamiques attendus pour lesdites données. 4.- Système (1) selon l'une quelconque des revendications 1 à 3, caractérisé en ce que lesdites première (7) et deuxième (9) chaînes forment un anneau monodirectionnel pour l'échange de données entre ledit premier réseau sécurisé (3) et ledit deuxième réseau (5) et pour l'échange de données internes. 5.- Système (1) selon la revendication 4, caractérisé en ce que ledit module de contrôle de cohérence (37) est interposé, sur ladite deuxième chaîne (9), entre ledit premier réseau sécurisé (3) et ledit deuxième réseau (5), de telle sorte que toute donnée transmise depuis ledit deuxième réseau (5) à destination dudit premier réseau sécurisé (3) transite par ledit module de contrôle de cohérence (37). 6.- Système (1) selon l'une quelconque des revendications 1 à 5, caractérisé en ce que lesdits moyens de filtrage (31, 37) comprennent un module de filtrage de données (31), propre à analyser lesdites données pour déterminer si lesdites données sont autorisées à être transmises audit premier réseau sécurisé (3), à transmettre lesdites données vers ledit premier réseau sécurisé (3) si lesdites données sont autorisées à être transmises audit premier réseau sécurisé (3) et à interdire la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données ne sont pas autorisées à être transmises au audit premier réseau sécurisé (3). 7.- Système (1) selon les revendications 5 et 6, caractérisé en ce que ledit module de filtrage de données (31) est interposé sur ladite deuxième chaîne (9) entre ledit deuxième réseau (5) et ledit module de contrôle de cohérence (37), et en ce que ladite deuxième chaîne (9) comprend un commutateur (33) propre à interdire la transmission desdites données depuis ledit module de filtrage de données (31) vers ledit module de contrôle de cohérence (37) tant que lesdites données n'ont pas été jugées par ledit module de filtrage de données (31) comme autorisées à être transmises audit premier réseau sécurisé (3). 8.- Système selon l'une quelconque des revendications 1 à 7, caractérisé en ce qu'il comprend des moyens d'identification et d'authentification (15) dudit deuxième réseau (5) et d'un opérateur opérant depuis ledit deuxième réseau (5), lesdits moyens d'identification et d'authentification (15) étant propres à interdire tout échange de données entre ledit système (1) d'échange et ledit deuxième réseau (5) si ledit opérateur et/ou ledit deuxième réseau (5) sont jugés par lesdits moyens d'identification et d'authentification (15) comme non autorisés à échanger des données avec ledit premier réseau sécurisé (3). 9.- Système (1) selon l'une quelconque des revendications 1 à 8, caractérisé en ce que ladite première chaîne (7) comprend des moyens (21, 23) de protection de données transmises depuis ledit premier réseau sécurisé (3) à destination dudit deuxième réseau (5). 10.- Système (1) selon la revendication 9, caractérisé en ce que lesdits moyens (21, 23) de protection comprennent un module de filtrage de données (21), propre à analyser lesdites données pour déterminer si lesdites données sont autorisées à êtretransmises audit deuxième réseau (5), et à autoriser la transmission desdites données vers ledit deuxième réseau (5) si lesdites données sont autorisées et à interdire la transmission desdites données vers ledit deuxième réseau (5) si lesdites données ne sont pas autorisées. 11.- Système (1) selon l'une quelconque des revendications 9 ou 10, caractérisé en ce que lesdits moyens (21, 23) de protection comportent un module de protection cryptographique (23), apte à appliquer une protection cryptographique à des données transmises depuis ledit premier réseau sécurisé (3) à destination dudit deuxième réseau (5). 12.- Système (1) selon les revendications 10 et 11, caractérisé en ce que ledit module de filtrage de données (21) est propre à analyser les données autorisées pour déterminer, en fonction de ladite deuxième politique de sécurité prédéterminée, si lesdites données doivent être protégées avant d'être transmises vers ledit deuxième réseau (5), et à aiguiller lesdites données vers ledit module de protection cryptographique (23) uniquement si lesdites données doivent être protégées avant d'être transmises vers ledit deuxième réseau (5). 13.- Système (1) selon l'une quelconque des revendications 1 à 12, caractérisé en ce que ledit premier réseau sécurisé (3) est un segment plate-forme d'un aéronef, et en ce que ledit deuxième réseau (5) est un segment ouvert dudit aéronef. 14.- Aéronef comprenant un segment plate-forme (3) et un segment ouvert (5), caractérisé en ce qu'il comprend un système d'échange de données (1) selon la revendication 13 embarqué dans ledit aéronef pour l'échange de toute donnée entre ledit segment plate-forme (3) et ledit segment ouvert (5). 15. Procédé d'échange de données entre un premier réseau sécurisé (3) et un deuxième réseau (5) d'un niveau de sécurité plus faible que le premier réseau sécurisé ou d'un niveau de sécurité inconnu, caractérisé en ce qu'il comprend les étapes suivantes : - fourniture d'un système (1) selon l'une quelconque des revendications 1 à 13, - lors d'une transmission de données depuis ledit deuxième réseau (5) à destination dudit premier réseau sécurisé à travers ladite deuxième chaîne de transmission de données, un filtrage desdites données, ledit filtrage comprenant une phase de contrôle (122) de cohérence desdites données, lors de laquelle ledit module de cohérence (37) vérifie si lesdites données sont cohérentes avec des données attendues par ledit premier réseau sécurisé (3), et autorise la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données sont cohérentes ou interdit la transmission desdites données vers ledit premier réseau sécurisé (3) si lesdites données ne sont pas cohérentes.