Brevet FR3071688A1 (20190329)

REVENDICATIONS1.- Procédé (24,\n<CLM>\1\tde synchronisation d'un ensemble (10) de dispositifs informatiques critiques, en particulier des dispositifs avioniques, interconnectés à un réseau (16) de communication d'un véhicule, tel qu'un aéronef, et comprenant chacun un module de gestion de l'heure (G_P), l'ensemble de dispositifs informatiques critiques comprenant au moins une pluralité de serveurs (12) de référence horaire, et une pluralité de clients (14), chaque dispositif informatique critique étant connecté à au moins un autre dispositif informatique critique par une liaison virtuelle (18, 20), chaque point de terminaison d'une liaison virtuelle étant associé à une valeur minimale (BCTT) et à une valeur maximale (WCTT) de temps de transmission d'un paquet de données sur la liaison virtuelle, le procédé (24,\n<CLM>\1\tde synchronisation étant mis en oeuvre et réitéré périodiquement par le module de gestion de l'heure (G_P) de chaque dispositif informatique critique courant et comprenant au moins: la réception (38, 46, 76,\n<CLM>\1\td'au moins un message de synchronisation transmis par un serveur (12) émetteur distinct dudit dispositif informatique critique courant, chaque message étant associé à un instant de réception (t,) et comprenant au moins une référence horaire (Href,) déterminée par le serveur (12) émetteur, pour chaque message de synchronisation reçu, l'estimation (40, 48, 58, 78,\n<CLM>\1\tde l'heure courante du serveur (12) émetteur à partir d'un quintuplet de paramètres comprenant : ^ la référence horaire (Href,), ^ une valeur (hint_tcdt) de l'horloge interne du dispositif informatique critique courant à l'instant courant, ^ une valeur (hint_ti_ch) de l'horloge interne du dispositif informatique critique courant à l'instant de réception, ^ la valeur minimale (BCTT) et la valeur maximale (WCTT) de temps de transmission associée à la liaison virtuelle entre le serveur émetteur et le dispositif informatique critique courant. 2.- Procédé (24,\n<CLM>\1\tde synchronisation selon la revendication 1, dans lequel la période (P) de réitération du procédé est conforme à la relation suivante : 20 PR - max , (G(s,$)) - max ,FINCTT(s,$). (D(s) + D(s'))1 serveur s serveur s M . (D (S) max ,D(s')) serveur s PR - G(S,C) min W CTT (s, c)1 client c, serveur s D (C) + D (s) P 3.- Procédé (24,\n<CLM>\1\tde synchronisation selon la revendication 1 ou 2, dans lequel chaque dispositif informatique critique comprend également un module de gestion des pannes (G_P) de synchronisation propre à être détectée(s) lors de la mise en oeuvre dudit procédé (24, 66), et dans lequel le procédé comprend, au cours d'une période courante, 15 préalablement à la réception d'au moins un message de synchronisation et à l'estimation de l'heure courante du serveur (12) émetteur : la transmission (32, 54, 72, 82), par le module de gestion de l'heure (G_H) du dispositif informatique critique courant, à son propre module de gestion des pannes (G_P), de toute information, associée à un module de gestion des pannes (G_H) d'au moins un 20 serveur (12) émetteur distinct du dispositif informatique critique courant, et reçue au cours de la période (P) précédente, - l'exécution (34, 56, 74,\n<CLM>\1\tde chaque action, non encore exécutée, reçue de son propre module de gestion des pannes. 25 4.- Procédé (24) de synchronisation selon la revendication 1 ou 2, le dispositif informatique critique courant étant un serveur (12) courant parmi la pluralité de serveurs (12), chaque serveur (12) étant connecté à chaque autre serveur et à chaque client par une liaison virtuelle de synchronisation (18), dans lequel, au cours d'une phase d'initialisation (26), le procédé comprend, 30 préalablement à la réception (38,\n<CLM>\1\td'au moins un message de synchronisation et à l'estimation (40,\n<CLM>\1\tde l'heure courante du serveur (12) émetteur: 21 - la détermination (34) d'une référence horaire du serveur (12) courant par application d'une fonction affine prédéterminée à la valeur de l'horloge interne du serveur (12) courant à l'instant courant, la fonction affine étant associée à un facteur et à un décalage dont les valeurs sont préalablement initialisées à des valeurs initiales prédéterminées, 5 - l'émission (36) d'un message de synchronisation comprenant un champ d'identification (INIT) représentatif de la phase d'initialisation du module de gestion de l'heure (G_H) du serveur (12) courant et comprenant la référence horaire du serveur (12) courant. 5.- Procédé (24) de synchronisation selon la revendication 4, dans lequel 10 successivement à l'estimation (40) de l'heure courante du serveur émetteur mise en oeuvre, pour chaque message de synchronisation reçu comprenant un champ d'identification représentatif de la phase d'initialisation (INIT) d'un serveur émetteur distinct, et mise en oeuvre dès qu'un premier nombre prédéterminé de messages de synchronisation reçus, est atteint, le procédé comprend : 15 - la détermination (42) d'une nouvelle référence horaire correspondant à l'heure courante maximale obtenue à partir des heures courantes associées à chaque message, - la mise à jour (44) du facteur et du décalage de la fonction affine en fonction de ladite nouvelle référence horaire, - le démarrage (44) de la phase opérationnelle (28) du module de gestion de l'heure du 20 serveur courant. 6.- Procédé (24) de synchronisation selon la revendication 4, dans lequel successivement à l'estimation (48) de l'heure courante du serveur (12) émetteur mise en oeuvre, pour chaque message de synchronisation reçu comprenant un champ 25 d'identification (TIME) représentatif de la phase opérationnelle (28) d'un serveur (12) émetteur distinct, et mise en oeuvre dès qu'un deuxième nombre prédéterminé de messages de synchronisation reçus, est atteint, le procédé comprend : - la détermination (50) d'une nouvelle référence horaire correspondant à l'heure courante moyenne obtenue à partir des heures courantes associées à chaque message, 30 - la mise à jour (52) du facteur et du décalage de la fonction affine en fonction de ladite nouvelle référence horaire, - le démarrage (52) de la phase opérationnelle (28) du module de gestion de l'heure du serveur courant. 22 7.- Procédé (24) de synchronisation selon l'une quelconque des revendications 1 à 3, le dispositif informatique critique courant étant un serveur (12) courant parmi la pluralité de serveurs, chaque serveur (12) étant connecté à chaque autre serveur et à chaque client par une liaison virtuelle de synchronisation (18), 5 dans lequel, au cours de la phase opérationnelle (28), le procédé comprend : - pour chaque message de synchronisation reçu comprenant un champ d'identification (TIME) représentatif de la phase opérationnelle (28) d'un serveur (12) émetteur distinct : si l'instant de réception du message est antérieur de plus de deux périodes (P) à l'instant courant, l'émission d'une information représentative d'une anomalie au 10 module de gestion de panne (G_P) du client courant et l'arrêt du traitement du message, sinon ladite estimation (58) de l'heure courante associée audit message - la détermination (60) d'une nouvelle référence horaire correspondant à l'heure courante moyenne obtenue à partir de l'heure courante du serveur courant et des heures courantes 15 associées à chaque message, - la mise à jour (62) du facteur et du décalage de la fonction affine en fonction de ladite nouvelle référence horaire, et - l'émission (64) d'un message de synchronisation comprenant un champ d'identification représentatif de la phase opérationnelle du serveur courant et contenant ladite référence 20 horaire du serveur courant. 8.- Procédé (66) de synchronisation selon l'une quelconque des revendications 1 à 3, le dispositif informatique critique courant étant un client (14) courant parmi la pluralité de clients (14), chaque client (14) étant connecté à chaque serveur (12) de la pluralité de 25 serveurs (12) par une liaison virtuelle de synchronisation (18), dans lequel, au cours d'une phase d'initialisation (68), successivement à l'estimation (78) de l'heure courante du serveur émetteur mise en oeuvre à partir du premier message de synchronisation reçu comprenant un champ d'identification (TIME) représentatif de la phase opérationnelle (28) d'un serveur (12) émetteur distinct, le 30 procédé comprend : la mise à jour de la référence horaire du client courant égale à l'heure courante associée audit message, l'initialisation (80) des valeurs initiales de facteur et de décalage d'une fonction affine applicable à la valeur de l'horloge interne du client courant, 23 - le démarrage (80) de la phase opérationnelle du module de gestion de l'heure du client courant. 9.- Procédé (66) de synchronisation selon la revendication 1 ou 2, le dispositif 5 informatique critique courant étant un client (14) courant parmi la pluralité de clients (14), chaque client (14) étant connecté à chaque serveur (12) de la pluralité de serveurs (12) par une liaison virtuelle de synchronisation (18), dans lequel, au cours d'une phase opérationnelle (70), le procédé comprend : - pour chaque message de synchronisation reçu comprenant un champ d'identification 10 représentatif de la phase opérationnelle (68) d'un serveur (12) émetteur distinct : si l'instant de réception (t) du message est antérieur de plus de deux périodes (P) à l'instant courant (te), l'émission d'une information représentative d'une anomalie au module de gestion de panne (G_P) du client (14) courant et l'arrêt du traitement du message, 15 sinon ladite estimation (90) de l'heure courante associée audit message, - si la valeur absolue de la différence entre, d'une part une référence horaire du client (14) courant obtenue par application d'une fonction affine à la valeur de l'horloge interne du client courant (C1, C2) à l'instant courant te, et d'autre part l'heure courante moyenne obtenue (92) à partir des heures courantes associées à chaque message est supérieure à 20 un seuil prédéterminé de précision (PR), l'émission (94) d'une information représentative d'une anomalie au module de gestion de panne (G_P) du client courant, - détermination d'une nouvelle référence horaire correspondant à l'heure courante moyenne obtenue à partir des heures courantes associées à chaque message, et - mise à jour du facteur et du décalage de la fonction affine du client (14) courant en 25 fonction de ladite nouvelle référence horaire. 10.- Système (10) de synchronisation d'un ensemble de dispositifs informatiques critiques, en particulier des dispositifs avioniques, interconnectés à un réseau (16) de communication d'un véhicule, tel qu'un aéronef, et comprenant chacun un module de 30 gestion de l'heure (G_H), l'ensemble de dispositifs informatiques critiques comprenant au moins une pluralité de serveurs (12) de référence horaire, et une pluralité de clients (14), chaque dispositif informatique critique étant connecté à un au moins un autre dispositif informatique critique par une liaison virtuelle (18, 20), chaque point de terminaison d'une liaison virtuelle étant associée à une valeur minimale (BCTT) et une valeur maximale 24 (WCTT) de temps de transmission d'un paquet de données sur ladite liaison virtuelle (18, 20), le module de gestion de l'heure (G_H) de chaque dispositif informatique critique courant étant propre à mettre en oeuvre et à réitérer périodiquement au moins: 5 la réception (38, 46, 76,\n<CLM>\1\td'au moins un message de synchronisation transmis par un serveur émetteur distinct dudit dispositif informatique critique courant, chaque message étant associé à un instant de réception et comprenant au moins une référence horaire déterminée par ledit serveur émetteur, - pour chaque message de synchronisation reçu, l'estimation (40, 48, 58, 78,\n<CLM>\1\tde 10 l'heure courante du serveur émetteur à partir d'un quintuplet de paramètres comprenant : ^ ladite référence horaire, ^ une valeur de l'horloge interne du dispositif informatique critique courant à l'instant courant, 15 ^ une valeur de l'horloge interne du dispositif informatique critique courant à l'instant de réception, ^ la valeur minimale et la valeur maximale de temps de transmission associée à la liaison virtuelle entre le serveur émetteur et le dispositif informatique critique courant.