FR 3089316 A1 20200605 FR 1872148 A 20181130 Description Titre de l'invention : Procédé et dispositif de surveillance d'application(s) logicielle(s) avec période temporelle tampon précédant une section réservée pour un ensemble de ressource(s) partagée(s), programme d'ordinateur et système avionique associés [0001] La présente invention concerne un procédé de surveillance d'au moins une ap- plication logicielle apte à être exécutée sur une plateforme, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution, le procédé étant mis en oeuvre par un dispositif électronique de surveillance. [0002] L'invention concerne également un programme d'ordinateur comportant des ins- tructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un tel procédé. [0003] L'invention concerne également un dispositif électronique de surveillance d'au moins une application logicielle apte à être exécutée sur une plateforme, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution. [0004] L'invention concerne également un système électronique avionique comprenant une mémoire apte à stocker au moins une application logicielle avionique ; une plateforme apte à exécuter chaque application logicielle avionique, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution ; et un tel dispositif électronique de surveillance apte à surveiller chaque application logicielle avionique. [0005] L'invention concerne le domaine de la qualification des plateformes informatiques, notamment des plateformes embarquées, en particulier des plateformes avioniques embarquées. L'invention concerne alors la surveillance du fonctionnement d'applications logicielles exécutées sur de telles plateformes, notamment pour des plateformes avioniques, avec par exemple un ou plusieurs processeurs multicoeur. [0006] L'invention concerne plus précisément le domaine des systèmes critiques, et l'invention cherche à garantir le bon fonctionnement d'applications logicielles, dites critiques, ayant un impact fort en termes de surcté sur le système associé, tel que le système électronique avionique. Ces applications logicielles critiques, également appelées fonctions critiques, doivent généralement être exécutées dans un temps donné avec unc tolérance temporelle définie. A l'inverse, d'autres applications logicielles, dites non-critiques, ont un impact faible, voire pas d'impact, en termes de surcté sur le système associé, et leur exécution peut alors être au moins partiellement décalée dans 2 le temps sans remettre en cause le bon fonctionnement du système associé. [0007] Une difficulté apparaît alors lorsque plusieurs applications logicielles sont exécutées sur une même plateforme, notamment via un même processeur mono-coeur ou multicoeur, et que de manière générale les ressources de la plateforme sont potentiellement utilisables simultanément par plusieurs applications logicielles, et ce dans plusieurs contextes, à savoir d'une part dans un contexte à faible impact, voire sans impact, en termes de sureté, et d'autre part, dans un contexte à fort impact en termes de sureté avec une forte échéance temporelle d'exécution (de l'anglais deadline). [0008] Il est alors connu d'éviter par conception tout partage, à un instant temporel donné d'exécution, de ressource(s) de la plateforme entre application(s) logicielle(s) critique(s) et application(s) logicielle(s) non-critique(s). [0009] Toutefois, il est parfois impossible de garantir qu'un tel partage de ressource(s) ne se produira pas, notamment avec un ou plusieurs processeurs multicoeur. [0010] Il est également connu de prévoir des marges temporelles à l'issue de l'exécution de chaque application logicielle, ces marges incluant un potentiel décalage temporel maximal, afin d'éviter qu'un retard d'exécution d'une application logicielle non-critique entraine à son tour un retard dans l'exécution de l'application logicielle critique dont l'exécution suit celle de ladite application logicielle non-critique. [0011] Toutefois, avec de telles marges temporelles, la platcforme est sous-utilisée. [0012] Le but de l'invention est alors de proposer un procédé et un dispositif de surveillance d'au moins une application logicielle apte à être exécutée sur une plateforme, qui permettent d'offrir un meilleur fonctionnement de la plateforme, tout en garantissant une bonne exécution des applications logicielles, notamment des applications logicielles critiques devant généralement être exécutées dans un temps donné avec une tolérance temporelle définie. [0013] A cet effet, l'invention a pour objet un procédé de surveillance d'au moins une ap- plication logicielle apte à être exécutée sur une plateforme, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution, le procédé étant mis en oeuvre par un dispositif électronique de surveillance et comprenant les étapes suivantes [0014] - surveiller chaque requête d'accès émise par une application logicielle non-critique pour accéder à un ensemble de ressource(s) partagée(s) entre ladite application logicielle non-critique et au moins une application logicielle critique ; et [0015] - mettre en attente la requête d'accès émise par l'application logicielle non-critique si ladite requête est émise pendant une période temporelle tampon précédant l'exécution de la prochaine application logicielle critique comportant une section réservée pour ledit ensemble de ressource(s) partagée(s), la section réservée étant une période temporelle au cours de laquelle l'une de l'au moins une application logicielle critique 3 requiert un accès exclusif à au moins l'une des ressources dudit ensemble de ressource(s) partagée(s). [0016] Avec le procédé de surveillance selon l'invention, la mise en attente de la requête d'accès émise par l'application logicielle non-critique si ladite requête est émise pendant la période temporelle tampon précédant l'exécution de la prochaine application logicielle critique comportant la section réservée pour ledit ensemble de ressource(s) partagée(s), permet d'éviter que ladite application logicielle non-critique utilise l'ensemble de ressource(s) partagée(s) si elle ne peut ensuite pas libérer ledit ensemble de ressource(s) partagée(s) avant l'exécution de la prochaine application logicielle critique comportant la prochaine section réservée. [0017] Autrement dit, la surveillance de chaque requête d'accès émise par l'application lo- gicielle non-critique pour accéder à l'ensemble de ressource(s) partagée(s) entre elle et au moins une application logicielle critique et la mise en attente, précitée et sous condition, de certaine(s) requête(s) d'accès émise(s) par l'application logicielle non-critique vise à autoriser l'accès de l'application logicielle non-critique audit ensemble de ressource(s) partagée(s) seulement lorsque ledit ensemble sera ensuite libéré avant qu'une application logicielle critique ait besoin d'accéder audit ensemble de ressource(s) partagée(s). [0018] Suivant d'autres aspects avantageux de l'invention, le procédé de surveillance comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : [0019] - ladite requête d'accès émise par l'application logicielle non-critique est en outre mise en attente si elle est émise pendant l'exécution de la prochaine application logicielle critique comportant la section réservée pour ledit ensemble de ressource(s) partagée(s) ; [0020] - la durée de la période temporelle tampon dépend d'un temps d'exécution de pire cas de chaque section réservée pour ledit ensemble de ressource(s) partagée(s), [0021] la durée de la période temporelle tampon étant de préférence égale au temps d'exécution de pire cas de durée maximale parmi le ou les temps d'exécution de pire cas de la ou des sections réservées pour ledit ensemble de ressource(s) partagée(s), [0022] chaque temps d'exécution de pire cas étant de préférence calculé lors d'une analyse statique préalable ; [0023] - l'ensemble de ressource(s) partagée(s) comporte une pluralité de ressources partagées, et la durée de la période temporelle tampon est déterminée pour ladite pluralité de ressources partagées ; [0024] - chaque ressource partagée est choisie parmi le groupe consistant en : un coeur d'un processeur de la plateforme, une zone mémoire de la platefonne hébergeant un objet logiciel partagé par plusieurs fils d'exécution, une partie d'un périphérique de la plateforme ; [0025] - le procédé comprend en outre l'étape suivante : envoyer à l'application logicielle non-critique un signal l'informant que sa requête d'accès a été mise en attente ; [0026] - chaque application logicielle critique a un niveau de criticité correspondant à un niveau DAL défini selon la norme DO-178 révision B et suivante(s), ou selon la norme ARP4754, [0027] le niveau de criticité étant de préférence égal au niveau DAL A ou au niveau DAL B, [0028] les niveaux DAL A et DAL B étant de préférence encore considérés comme les plus critiques ; et [0029] - chaque application logicielle est une application logicielle avionique, la plateforme étant destinée à être embarquée à bord d'un aéronef [0030] L'invention a également pour objet un programme d'ordinateur comportant des ins- tructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé de surveillance tel que défini ci-dessus. [0031] L'invention a également pour objet un dispositif électronique de surveillance d'au moins une application logicielle apte à être exécutée sur une plateforme, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution, le dispositif électronique de surveillance comprenant : [0032] - un module de surveillance configuré pour surveiller chaque requête d'accès émise par une application logicielle non-critique afin d'accéder à un ensemble de ressource(s) partagée(s) entre ladite application logicielle non-critique et au moins une application logicielle critique ; et [0033] - un module de mise en attente configuré pour mettre en attente la requête d'accès émise par l'application logicielle non-critique si ladite requête est émise pendant une période temporelle tampon précédant l'exécution de la prochaine application logicielle critique comportant une section réservée pour ledit ensemble de ressource(s) partagée(s), la section réservée étant une période temporelle au cours de laquelle l'une de l'au moins une application logicielle critique requiert un accès exclusif à au moins l'une des ressources dudit ensemble de ressource(s) partagée(s). [0034] L'invention a également pour objet un système électronique avionique comprenant : [0035] - une mémoire apte à stocker au moins une application logicielle avionique ; [0036] - une plateforme apte à exécuter chaque application logicielle avionique, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution ; et [0037] - un dispositif électronique de surveillance de chaque application logicielle avionique, le dispositif électronique (le surveillance étant tel que défini ci-dessus. [0038] Ces caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : [0039] - [fig.1] la figure 1 est une représentation schématique d'un système électronique avionique selon l'invention, comprenant une mémoire apte à stocker au moins une application logicielle avionique, une plateforme apte à exécuter chaque application logicielle avionique, et un dispositif électronique de surveillance de chaque application logicielle avionique, la plateforme comportant des ressources auxquelles chaque application logicielle est susceptible d'accéder lors de son exécution ; [0040] - [fig.2] la figure 2 est un organigramme schématique d'un procédé de surveillance d'au moins une application logicielle apte à être exécutée sur la plateforme, le procédé étant mis en oeuvre par le dispositif de surveillance de la figure 1 ; [0041] - [fig.3] la figure 3 est un logigramme d'un exemple de mise en oeuvre du procédé de surveillance de la figure 2 ; [0042] - [fig.4] la figure 4 est un schéma illustrant une ressource partagée entre une ap- plication logicielle non-critique et deux applications logicielles critiques ; [0043] - [fig.5] la figure 5 est une vue illustrant une mise en oeuvre de la surveillance selon l'invention, dans le cas où l'application logicielle critique est une fonction de commutation entre deux applications logicielles non-critiques, avec un premier exemple où la requête est émise avant une période temporelle tampon précédant l'exécution de ladite application logicielle critique et n'est alors pas mise en attente, et un deuxième exemple où la requête est émise pendant ladite période temporelle tampon et est alors mise en attente ; et [0044] - [fig.6] la figure 6 est une vue analogue à celle de la figure 5 pour une mise en oeuvre de la surveillance selon l'invention, dans le cas où l'application logicielle non-critique est destinée à être exécutée par un coeur d'un processeur multicceur de la plateforme et l'application logicielle critique est destinée à être exécutée par un autre coeur dudit processeur. [0045] Sur la figure 1, un système électronique 10, notamment un système électronique avionique destiné à être embarqué à bord d'un aéronef, comprend une mémoire 12 apte à stocker des applications logicielles 14 et une plateforme 16 apte à exécuter chaque application logicielle 14, la plateforme 16 comportant des ressources 18 auxquelles chaque application logicielle 14 est susceptible d'accéder lors de son exécution et hébergeant au moins un système d'exploitation 20, la plateforme 16 étant reliée à d'autres systèmes électroniques 22, tels que d'autres systèmes électroniques avioniques de l'aéronef [0046] Le système électronique 10 comprend en outre, selon l'invention, un dispositif élec- tronique 24 de surveillance d'au moins une application logicielle 14. [0047] Sur la figure 1, par souci de simplification du dessin, la mémoire 12 a été représentée à l'extérieur du rectangle symbolisant les ressources 18, ceci afin de faire apparaître de 6 manière distincte la couche logicielle correspondant aux applications logicielles 14, ainsi que le cas échéant au dispositif de surveillance 24. Néanmoins, l'homme du métier comprendra bien entendu que la mémoire 12 est incluse dans les ressources 18 de la plateforme 16. [0048] L'aéronef est de préférence un avion. En variante, l'aéronef est un hélicoptère, ou encore un drone piloté à distance par un pilote. [0049] Dans l'exemple de la figure 1, la mémoire 12 est apte à stocker trois applications lo- gicielles 14 distinctes, et le dispositif électronique de surveillance 24 est alors configure pour surveiller chacune de ces applications logicielles 14. [0050] Chaque application logicielle 14 est destinée à être exécutée par la plateforme 16, et est alors conçue pour émettre un ou plusieurs appels à destination du système d'exploitation 20 hébergé par la plateforme 16 et est également configurée pour utiliser des ressources 18 de la plateforme 16. [0051] Lorsque le système électronique 10 est un système électronique avionique embarqué à bord de l'aéronef, chaque application logicielle 14 est également appelée fonction avionique. Les applications logicielles 14 remplissent par exemple différentes fonctions pour l'accomplissement d'un vol. [0052] Parmi les applications logicielles 14, certaines applications logicielles sont dites critiques, et sont alors notées 14c, et d'autres applications logicielles sont dites non-critiques et notées 14,c. [0053] L'homme du métier comprendra alors que la référence 14 désignera une application logicielle de manière générale, qu'il s'agisse d'une application critique ou non, et que la référence 14c désigne une application logicielle critique en particulier, alors que la référence 14,,c désigne une application non-critique en particulier. [0054] Par application logicielle critique 14c, on entend une application logicielle devant être exécutée dans un temps donné avec une tolérance temporelle définie. Une application logicielle critique 14c a généralement un impact fort en termes de sureté sur le système associé, tel que le système électronique avionique 10, et est par exemple une application concernant le système de freinage ou le système de gestion du vol de l'aéronef [0055] A l'inverse, par application logicielle non-critique 14,,c, on entend une application lo- gicielle dont l'exécution peut être au moins partiellement décalée dans le temps sans remettre en cause le bon fonctionnement du système associé. Une telle application logicielle non-critique 14Nc a alors un impact faible, voire pas d'impact, en termes de sureté sur le système associé, tel que le système électronique avionique 10. [0056] Chaque application logicielle critique 14c a par exemple un niveau de criticité cor- respondant à un niveau DAL défini selon la norme DO-178 révision B et suivante(s), ou selon la norme ARP4754. 7 [0057] Selon cet exemple, chaque application logicielle critique 14c a alors de préférence un niveau de criticité égal au niveau DAL A ou au niveau DAL B, les niveaux DAL A et DAL B étant considérés comme les plus critiques, et chaque application logicielle non-critique 14NC a alors un niveau de criticité égal au niveau DAL C, au niveau DAL D ou encore au niveau DAL E, les niveaux DAL C à DAL E étant considérés comme les moins critiques. [0058] Dans l'exemple d'un système radar, une application logicielle critique 14c concernera alors par exemple un calcul de mode sur des données provenant de capteurs, l'exécution d'un tel calcul devant être effectuée dans un temps donné avec une tolérance temporelle prédéfinie, et à défaut, un retard dans ce calcul de mode entraînant l'absence d'images radar, cc qui est un impact opérationnel fort. A contrario, l'affichage d'une interface homme/machine de maintenance pour le système radar est une application logicielle non-critique 14,c, un retard dans l'affichage des données de maintenance ayant un impact faible, un tel affichage des données de maintenance n'étant pas nécessaire lors d'un vol de l'aéronef. [0059] La plateforme 16 est notamment destinée à être embarquée à bord de l'aéronef. La plateforme 16 est, par exemple, une unité de traitement d'informations formée d'une ou plusieurs mémoires associées à un ou plusieurs processeurs, tels que des processeurs multicoeur. [0060] L'invention est applicable à différents types d'architecture logicielle, notamment à une architecture dite de multitraitement symétrique, également appelée architecture SMP (de l'anglais Symetrical Multi-Processing), ou encore à une architecture dite de multitraitement asymétrique, également appelée architecture AMP (de l'anglais Asymetrical Multi-Processing). [0061] Les ressources 18 de la plateforme 16 sont des éléments physiques ou logiques propres à être mis à disposition de la ou des applications logicielles 14. [0062] Les ressources 18 sont, par exemple, réparties en les catégories suivantes : [0063] - des ressources de type traitement de données (de l'anglais Processing). De telles ressources comportent par exemple un ou plusieurs processeurs, tels que des processeurs mono-coeur ou bien des processeurs multicoeur ayant chacun plusieurs coeurs distincts ; [0064] - des ressources de type mémoire de masse (de l'anglais Mass-Memory); [0065] - des ressources de type entrée et sortie ; [0066] - des ressources spécifiques aux réseaux avioniques. De telles ressources sont, par exemple, des routeurs de communication d'un réseau ARINC 664 ; et [0067] - des ressources de type graphique, c'est-à-dire des ressources permettant un affichage, tel qu'un écran. [0068] Dans l'exemple de la figure 1, en termes de ressources de type traitement de données, 8 la plateforme 16 comprend un processeur Enulticoeur 26 ayant plusieurs coeurs distincts. En termes de ressources de type mémoire de masse, la plateforme 16 comprend une mémoire de masse 27, et en ternies de ressources de type entrée/sortie, la plateforme 16 comprend un périphérique 28. [0069] Pour chaque application logicielle non-critique 14,c est déterminé un ensemble 30 de ressource(s) 18 qui sont partagée(s) entre ladite application logicielle non-critique 14,c et au moins une application logicielle critique 14c au cours de l'exécution de ladite application logicielle non-critique 14,c. La ou les ressources 18 qui sont partagées entre ladite application logicielle non-critique 14Nc et au moins une application logicielle critique 14c sont alors appelées ressources partagées et notées 18, comme représenté sur la Figure 4. [0070] L'homme du métier comprendra alors que la référence 18 désigne une ressource de manière générale, qu'il s'agisse d'une ressource partagée ou non, et que la référence 18 s désigne une ressource partagée en particulier. [0071] La détermination de l'ensemble 30 de ressource(s) partagée(s) 18s pour chaque ap- plication logicielle non-critique 14,c est par exemple effectuée via une analyse statique de la conception des applications logicielles 14 aptes à être exécutées sur la plateforme 16. [0072] Chaque ressource partagée 18s est par exemple choisie parmi le groupe consistant en : un coeur d'un processeur 26 de la plateforme, une zone de la mémoire 27, également appelée zone mémoire, de la plateforme hébergeant un objet logiciel partagé par plusieurs files d'exécution, et au moins une partie du périphérique 28 de la plateforme 16. [0073] La zone mémoire de la plateforme hébergeant un objet logiciel partagé par plusieurs files d'exécution est par exemple une file d'attente, ou queue, dans laquelle les premiers éléments entrés sont aussi les premiers à sortir, également appelee FIFO (de l'anglais First In First Out), une zone partagée, un état de l'objet, une variable globale, etc. [0074] La au moins une partie du périphérique 28 est par exemple une ou plusieurs mémoires caches, un port USB, un port série, une carte vidéo, une carte réseau, etc. [0075] Le système d'exploitation 20 est, par exemple, un système d'exploitation conforme à la norme ARINC 653, ou un système d'exploitation POSIX, ou encore un hyperviseur, ou encore un middleware. [0076] L'homme du métier comprendra alors que le système d'exploitation 20 s'entend au sens large, et est de manière plus générale un ensemble d'au moins un logiciel de base, conçu pour offrir des services de différents types à chaque application 14. [0077] Le dispositif électronique de surveillance 24 est, comme représenté sous forme de hachures sur la figure 1, de préférence apte à être exécuté directement par la plateforme 9 16. Le dispositif de surveillance 24 est alors par exemple de préférence en forme d'une fonction de surveillance intégrée au système d'exploitation 20. [0078] En variante, également visible sur la figure 1, le dispositif électronique de sur- veillance 4 est distinct de la plateforme 16, et comprend une unité de traitement d'informations 34 formée par exemple d'un processeur 36 associé à unc mémoire 38. [0079] Le dispositif électronique de surveillance 24 comprend un module de surveillance 40 configuré pour surveiller chaque requête d'accès émise par une application logicielle non-critique 14,c respective afin d'accéder à un ensemble 30 respectif de ressource(s) 18s partagec(s) entre ladite application logicielle non-critique 14,r et au moins une application logicielle critique 14r. [0080] Le dispositif électronique de surveillance 24 comprend un module de mise en attente 42 configuré pour mettre en attente la requête d'accès émise par l'application logicielle non-critique 14"'c si ladite requête est émise pendant une période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14c comportant une section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s) 18s. La section réservée 46, également appelée section critique, est une période temporelle au cours de laquelle une application logicielle 14 respective, telle la prochaine application logicielle critique 14r, requiert un accès exclusif à au moins l'une des ressources 18s dudit ensemble 30 de ressource(s) partagée(s). [0081] En complément facultatif, le dispositif électronique de surveillance 24 comprend un module d'envoi 48 configuré pour envoyer à l'application logicielle non-critique 14,r un signal l'informant que sa requête d'accès a été le cas échéant mise en attente par le module de mise en attente 42. [0082] Dans l'exemple de la figure 1, que le dispositif de surveillance 24 soit distinct de la plateforme 16, ou bien hébergé et exécuté par la plateforme 16, le module de surveillance 40, le module de mise en attente 42, et en complément facultatif le module d'envoi 48, sont réalisés chacun sous forme d'un logiciel, ou d'une brique logicielle, exécutables par un processeur, tel que le processeur 32 lorsque le dispositif de surveillance 24 est distinct de la plateforme 16. La mémoire 34 du dispositif de surveillance 24 est alors apte à stocker un logiciel de surveillance configuré pour surveiller chaque requête d'accès émise par une application logicielle non-critique 14 _ Nc respective pour accéder à un ensemble 30 respectif de ressource(s) 18s partagée(s) entre ladite application logicielle non-critique 14,r et au moins une application logicielle critique 14r, un logiciel de mise en attente configuré pour mettre en attente la requête émise par l'application logicielle non-critique 14Nr si ladite requête est émise pendant la période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14r comportant une section réservée 46 respective pour ledit ensemble 30 de ressource(s) partagée(s) 18s. En complément facultatif, la mémoire 34 du dispositif de surveillance 24 est alors apte à stocker un logiciel d'envoi configuré pour envoyer à l'application logicielle non-critique 14,c correspondante un signal l'informant que sa requête d'accès a été le cas échéant mise en attente par le logiciel de mise en attente. Le processeur 32 du dispositif de surveillance 24 est alors apte à exécuter le logiciel de surveillance et le logiciel de mise en attente, ainsi qu'en complément facultatif le logiciel d'envoi. [0083] En variante non représentée, le module de surveillance 40 et le module de mise en attente 42, ainsi qu'en complément facultatif le module d'envoi 48, sont réalisés chacun sous forme d'un composant logique programmable, tel qu'un FPGA (de l'anglais Field Programmable Gate Array), ou encore sous forme d'un circuit intégré dédié, tel qu'un ASIC (de l'anglais Application Specific Tntegrated Circuit). [0084] Lorsque le dispositif de surveillance 24 est réalisé sous forme d'un ou plusieurs logiciels, c'est-à-dire en forme d'un programme d'ordinateur, il est en outre apte à être enregistré sur un support, non représenté, lisible par ordinateur. Le support lisible par ordinateur est, par exemple, un médium apte à mémoriser des instructions électroniques et à être couplé à un bus d'un système informatique. A titre d'exemple, le support lisible est une disquette ou disque souple (de l'anglais Floppy Dise), un disque optique, un CD-ROM, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non-volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou encore une carte optique. Sur le support lisible est alors mémorisé un programme d'ordinateur comprenant des instructions logicielles. [0085] Le module de surveillance 40 est configuré pour surveiller chaque requête d'accès émise par une application logicielle non-critique 14.-. respective afin d'accéder à l'ensemble 30 de ressource(s) partagée(s) 185. Le module de surveillance 40 est notamment configuré pour surveiller chaque demande de verrouillage (de l'anglais I ock acquisition) afin d'obtenir une section réservée 46 respective pour ledit ensemble 30 de ressource(s) partagée(s) 185, c'est-à-dire configuré pour surveiller chaque demande de verrouillage émise par l'application logicielle non-critique 14Nc requérant un accès exclusif à au moins l'une des ressources 185 dudit ensemble 30 de ressource(s) partagée(s). [0086] Chaque demande de venouillage émise par l'application logicielle non-critique 14,c respective est par exemple adressée au système d'exploitation 20, et le module de surveillance 40 est alors configuré pour interagir avec le système d'exploitation 20 afin de surveiller l'ensemble des demandes de verrouillage émises par les applications logicielles non-critiques I4Nc. [0087] Le module de mise en attente 42 est configuré pour mettre en attente la requête d'accès émise par l'application logicielle non-critique 14.4c si ladite requête est émise pendant la période temporelle tampon 44 précédant l'exécution de la prochaine ap- 11 plication logicielle critique 14c comportant une section réservée 46 correspondante pour ledit ensemble 30 de ressource(s) partagéc(s). [0088] Le module de mise en attente 42 est alors par exemple configuré pour, à chaque début de section réservée par l'application logicielle non-critique 14,c respective, vérifier si une période temporelle tampon 44 respective associée à l'ensemble 30 de ressource(s) partagée(s) correspondant à ladite section réservée 46 a déjà débuté, et le cas échéant, pour annuler cc verrouillage de la section réservée 46 effectué par l'application logicielle non-critique 14,c, et mettre alors en attente la requête d'accès émise par l'application logicielle non-critique 14,c pour ledit ensemble 30 de ressource(s) partagée(s). Autrement dit, la période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14c comportant une section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s) définit une zone interdite 50 durant laquelle l'application logicielle non-critique 14,c ne peut pas conserver le verrouillage (de l'anglais lock) pour ledit ensemble 30 de ressource(s) partagéc(s), et ne peut alors pas accéder audit ensemble 30 de ressource(s) partagée(s). L'accès exclusif par l'application logicielle non-critique 14,c audit ensemble 30 de ressource(s) partagée(s) est alors reporté à la fin de cette zone interdite 50. [0089] Le module de mise en attente 42 est de préférence configuré en outre pour calculer la durée de la période temporelle tampon 44 pour chaque ensemble 30 de ressource(s) partagéc(s) préalablement déterminé et surveillé par le dispositif de surveillance 24 selon l'invention. [0090] Pour chaque ensemble 30 de ressource(s) partagée(s), la durée de la période temporelle tampon 44 dépend par exemple d'un temps d'exécution de pire cas, également noté WCET (de l'anglais Worst Case Execution Tinte), de chaque section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s). [0091] Pour chaque ensemble 30 de ressource(s) partagée(s), la durée de la période temporelle tampon 44 est de préférence égale au temps d'exécution de pire cas de durée maximale parmi le ou les temps d'exécution de pire cas de la ou des sections réservées 46 pour ledit ensemble 30 de ressource(s) partagée(s). [0092] Chaque temps d'exécution de ph-e cas WCET est de préférence calculé lors d'une analyse statique préalable. [0093] En variante, la durée de la période temporelle tampon 44 pour chaque ensemble 30 de ressource(s) partagée(s) est calculée lors d'une analyse statique préalable, et n'est pas calculée par le module de mise en attente 42. 12 [Tableaux1] Section critique WCET Durée période tampon Ressource 1 Section critique 1.1 15Ons 400ns Section critique 1.2 400ns Section critique 1.3 lOns Section critique 1.4 6Ons Ressource 2 Section critique 2.1 2Ons 8Ons Section critique 2.2 80ns [0094] La table 1 ci-avant illustre le calcul de la durée de la période temporelle tampon 44 selon cette préférence, avec deux ensembles 30 de ressource(s) partagée(s), chacun comportant une unique ressource partagée 18s. Pour le premier ensemble 30 avec la ressource partagée 18s appelée « Ressource 1 », le temps d'exécution de pire cas WCET de durée maximale est de 400 ns et correspond à la section réservée, ou critique, 1.2, de sorte que la durée de la période temporelle tampon 44 pour le premier ensemble 30 est dc 400 ns. De manière analogue, pour le deuxième ensemble 30 avec la ressource partagée 18s appelée « Ressource 2 », le temps d'exécution dc pire cas WCET dc durée maximale est celui de la section critique 2.2 et est égal à 80 ns, et la durée de la période temporelle tampon 44 pour ce deuxième ensemble 30 est alors égal à 80 ns. [0095] En complément, au moins un ensemble 30 de ressource(s) partagée(s) comporte une pluralité de ressources partagées 18s et la durée de la période temporelle tampon 44 pour l'ensemble 30 correspondant est alors déterminée pour ladite pluralité de ressources partagées 18s. [0096] Selon ce complément, dans le cas préférentiel où la durée de la période temporelle tampon 44 est égale au temps d'exécution de pire cas WCET de durée maximale parmi le ou les temps d'exécution de pire cas WCET de la ou des sections réservées 46 pour ledit ensemble 30 de ressource(s) partagée(s), la durée maximale prise en compte est alors celle pour l'ensemble des sections réservées 46 pour la pluralité de ressources partagées 18s. [0097] Ainsi, dans l'exemple de la table 1 ci-avant, en supposant conformément à ce complément que la table 1 correspond à un unique ensemble 30 de plusieurs ressources partagées, formé des ressources appelées « Ressource 1 » et « Ressource 2 », et le temps d'exécution de pire cas WCET de durée maximale parmi les six temps d'exécution de ph-e cas WCET des six sections réservées 46 pour les deux ressources 13 partagées 185 est celui correspondant à la section critique 1.2 et est égal à 400 ns, de sorte que la durée de la période temporelle tampon 44 pour cet ensemble 30 de deux ressources partagées est alors, par exemple selon le calcul préférentiel précité, égale à 400 ns. [0098] En complément facultatif, le module de mise en attente 42 est configuré en outre pour mettre en attente la requête d'accès émise par l'application logicielle non-critique 14,c si cette requête est émise pendant l'exécution de la prochaine application logicielle critique 14c comportant la section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s). [0099] Selon ce complément facultatif, la zone interdite 50 résultant de cette mise en attente correspond alors à la période temporelle comportant la période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14c ainsi que l'exécution elle-même de cette prochaine application logicielle critique 14c, comme représenté sur les exemples des figures 5 et 6. [0100] Autrement dit, la durée de la zone interdite 50 est égale soit à la seule durée de la période temporelle tampon 44, soit à la somme des durées de la période temporelle tampon 44 et de l'exécution de la prochaine application logicielle critique 14c. [0101] L'homme du métier comprendra qu'outre cette durée, la zone interdite 50 est définie par un début et une portée, le début correspondant au commencement de la période temporelle tampon 44, c'est-à-dire correspondant à l'instant temporel de début d'exécution de la prochaine application logicielle critique 14c auquel est retranchée la durée de la période tampon 44, et la portée correspondant à l'ensemble 30 de ressource(s) partagée(s) associé à cette période temporelle tampon 44 et à cette zone interdite 50. [0102] Le module d'envoi 48 est configuré pour envoyer à l'application logicielle non- critique 14Nc un signal l'informant que sa requête d'accès a été mise en attente par le module de mise en attente 42. La réception de ce signal permet alors à l'application logicielle non-critique 14,c concernée d'évaluer l'impact sur son fonctionnement de cette mise en attente, et notamment de voir si cette mise en attente est prévue dans ces marges de fonctionnement, de sorte que le signal de mise en attente peut être enregistré puis ignoré ; ou encore si cette mise en attente va entraîner un comportement anormal de l'application logicielle non-critique 14Nc, auquel cas ladite application logicielle non-critique 14,c générera par exemple un message d'erreur associé. [0103] Le fonctionnement du dispositif de surveillance 24 selon l'invention va désormais être expliqué à l'aide de la figure 2 représentant un organigramme schématique du procédé, selon l'invention, de surveillance d'au moins une application logicielle 14, le procédé étant mis en oeuvre par le dispositif électronique de surveillance 24, ainsi qu'à l'aide de la figure 3 représentant un logigramme d'un exemple de mise en oeuvre de 14 procédé de surveillance, avec utilisation d'un mécanisme de verrouillage. [0104] Lors d'une étape 100, le dispositif de surveillance 24 surveille, via son module de surveillance 40, chaque requête d'accès émise par une application logicielle non-critique 14Nc respective pour accéder à un ensemble 30 respectif de ressource(s) partagéc(s) entre ladite application logicielle non-critique 14,c et au moins une application logicielle critique 14c. [0105] Le dispositif de surveillance 24 vérifie ensuite, lors de l'étape 110, si la requête émise l'a été pendant une période temporelle tampon 44 respective précédant l'exécution de la prochaine application logicielle critique 14c comportant une section réservée 46 respective pour ledit ensemble 30 de ressource(s) partagéc(s), et met alors en attente ladite requête d'accès émise le cas échéant. Par contre, si la requête d'accès a été émise par l'application logicielle non-critique 14,c en dehors de ladite période temporelle tampon 44, notamment avant ladite période temporelle tampon 44, alors le module de mise en attente 42 ne met pas en attente ladite requête d'accès et l'application logicielle non-critique 14,c accède alors sans mise en attente à l'ensemble 30 de ressource(s) partagéc(s). [0106] En complément facultatif et si la requête émise par l'application logicielle non- critique 14,4c a été précédemment mise en attente lors de l'étape 110, alors le dispositif de surveillance 24 envoie, via son module d'envoi 48, un signal correspondant à l'application logicielle non-critique 14,c pour l'informer que sa requête d'accès a été mise en attente lors de la précédente étape 110. [0107] Le dispositif de surveillance 24 retourne ensuite à l'étape 100 afin de surveiller la prochaine requête émise par une application logicielle non-critique 14Nc. [0108] La figure 3 illustre une mise en oeuvre du procédé de surveillance selon l'invention dans le cas où un mécanisme de verrouillage est utilisé, via le système d'exploitation 20, pour pouvoir réserver une section critique 46 pour un ensemble 30 respectif de ressource(s) partagée(s). [0109] Sur la figure 3, lors d'une étape initiale 200, le dispositif de surveillance 24 détermine, via son module de surveillance 40, si l'application logicielle 14 souhaitant réserver une section critique 46 pour ledit ensemble 30 de ressource(s) partagée(s) est une application logicielle critique 14c ou bien une application logicielle non-critique 14 NC [0110] Si l'application logicielle 14 souhaitant réserver la section critique 46 est une ap- plication logicielle non-critique 14Nc. alors le dispositif de surveillance 24 effectue ensuite - via le système d'exploitation 20 - un verrouillage de la ou des ressources dudit ensemble 30 de ressource(s) partagée(s) correspondant à ladite section critique 46 pour l'accès exclusif par ladite application logicielle 14, puis passe directement à une étape suivante 220 au cours de laquelle le dispositif de surveillance 24 détermine via son module de mise en attente 42 si une zone interdite 50 est en cours pour ladite section critique 46, c'est-à-dire détermine si la requête émise par l'application logicielle non-critique 14,c l'a été ou non pendant une période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14c comportant ladite section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s) ou en complément facultatif pendant l'exécution de ladite prochaine application logicielle critique 14c. [0111] A l'issue de cette étape de test 220, si le module de mise en attente 42 détermine que la requête d'accès a été émise par l'application logicielle non-critique 14,c pendant une zone interdite 50, c'est-à-dire pendant ladite période temporelle tampon 44 ou en complément facultatif pendant l'exécution de la prochaine application logicielle critique 14c comportant ladite sélection critique 46, alors le dispositif de surveillance 24 effectue ensuite l'étape de mise en attente 110 décrite précédemment, puis optionnellement l'étape 120 d'envoi du signal d'informations à l'application logicielle non-critique 14,4c. avant d'observer une période d'attente lors de l'étape 230, par exemple via le déclenchement d'une temporisation, avant de retourner à l'étape 210, puis ensuite l'étape 220 afin de voir si la zone interdite 50 est toujours en cours suite à cette attente. [0112] Dans cet exemple, l'étape de mise en attente 110 correspond alors à une annulation du verrouillage de la section critique 46 précédemment effectuée lors de l'étape 210, c'est-à-dire à une libération du verrou via le système d'exploitation 20 (de l'anglais ock release). [0113] A l'issue de l'étape de test 220, si au contraire le module de mise en attente 42 a déterminé que la requête a été émise en dehors d'une zone interdite 50, c'est-à-dire qu'elle n'a pas été émise pendant une période temporelle tampon 44 respective, et en complément facultatif pas pendant l'exécution de ladite prochaine application logicielle critique 14c, alors le dispositif de surveillance 24 passe à l'étape suivante 240 afin d'enregistrer cette section réservée 46, notamment un identifiant de l'application logicielle 14 ayant obtenu un accès exclusif à cette section réservée 46. [0114] Suite à l'étape 240, l'étape 250 est ensuite effectuée et correspond à l'exécution en tant que telle de la section réservée 46, c'est-à-dire à l'accès exclusif par ladite application logicielle 14 à la ou aux ressources 18 concernées dudit ensemble 30 de ressource(s) partagée(s). [0115] Enfin, lors de l'étape 260, à la fin de l'exécution de la section réservée 46, la section réservée 46 est libérée par l'application logicielle 14 con-espondante, en libérant - via le système d'exploitation 20 - le verrou pour la ou les ressources concernées, et ladite application logicielle 14 n'a alors plus accès à cette ou ces ressources 18s. [0116] A l'issue de l'étape initiale 200, si le dispositif de surveillance 24 détermine au 16 contraire que l'application logicielle 14 requérant l'accès est une application logicielle critique 14c, alors le dispositif de surveillance 24 verrouille également la section réservée 46 lors de l'étape 210 via le système d'exploitation 20, puis passe directement à l'étape 240, et ensuite aux étapes 250 et 260, décrites précédemment, sans effectuer l'étape de test 220. [0117] Autrement dit, si le dispositif de surveillance 24 détermine que la requête d'accès pour la ou les ressources correspondant à la section critique 46 a été émise par une application logicielle critique 14c, alors le dispositif de surveillance 24 ne mettra pas en attente cette requête d'accès. [0118] Autrement dit, la mise en attente effectuée par le module de mise en attente 42 si la requête est émise pendant une période temporelle tampon 44 respective concerne uniquement une application logicielle non-critique 14,c correspondante, et ne concerne pas une application logicielle critique 14c. [0119] La figure 5 illustre une première mise en oeuvre de la surveillance selon l'invention lorsque la ou les applications logicielles non-critiques 14,c et la ou les applications logicielles critiques 14c sont aptes à être exécutées sur un même coeur de processeur, par exemple lorsque l'application logicielle critique 14c est une fonction de commutation entre deux applications logicielles non-critiques 14,c successives. [0120] Sur la figure 5, un premier exemple El est alors un exemple où une première ap- plication logicielle non-critique 14,c comportant un traitement B1 requiert un accès exclusif à au moins l'une des ressources 18 d'un ensemble 30 respectif de ressource(s) partagée(s) avec l'application logicielle critique 14c, ceci avant le début de la période temporelle tampon 44 précédant l'exécution de l'application logicielle critique 14c comportant la section réservée 46 au cours d'un premier Al de ses deux traitements Al, A2. [0121] Dans ce premier exemple El, comme la requête d'accès émise par l'application lo- gicielle non-critique 14,c l'a été précédemment à la période temporelle tampon 44, ou encore en dehors de la zone interdite 50, alors elle n'est pas mise en attente, et le traitement BI de cette application logicielle non-critique 14,c peut alors accéder de manière exclusive à la ou aux ressources associées à ladite section réservée 46, et cette section réservée 46 est alors ensuite libérée, du fait de la prise en compte de la période temporelle tampon 44, avant que la prochaine application logicielle critique 14c ait à son tour besoin de ladite section réservée 46 au cours de l'exécution de son premier traitement AI. [0122] Dans cette première mise en oeuvre, le premier traitement Al de la fonction de com- mutation correspond à une pause de toutes les activités en cours, puis à une sauvegarde du contexte, puis un deuxième traitement A2 de la fonction de commutation correspond à une restauration d'un contexte précédemment sauvegardé, afin que la 17 prochaine application logicielle non-critique 14,c puisse s'exécuter avec le contexte qui lui correspond. [0123] Selon ce premier exemple El, la prochaine application logicielle critique 14c exécute alors sans décalage temporel, à un premier instant temporel Tl son premier traitement Al comportant la section critique 46, puis son deuxième traitement A2 à un deuxième instant temporel T2, avant que le coeur commute vers l'exécution de l'application logicielle non-critique 14,c suivante pour qu'elle effectue normalement son traitement B2. [0124] Sur la figure 5, un deuxième exemple E2 représente ensuite un autre exemple où cette fois-ci la requête émise par le traitement B1 de l'application logicielle non-critique 14Nc pour la section réservée 46 l'est pendant la période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14c comportant la section réservée 46 (lors de son traitement Al) pour ledit ensemble 30 de ressource(s) partagée(s). La requête d'accès émise par le traitement B1 de l'application logicielle non-critique 14,c est alors mise en attente, comme représenté par la boîte 110 schématisant l'étape de mise en attente décrite précédemment, et le traitement B1 de l'application logicielle non-critique 14,c ne peut alors accéder à ce moment-là à la ou aux ressources dudit ensemble 30 de ressource(s) partagée(s) associé à ladite section critique 46. [0125] Selon ce deuxième exemple E2, la prochaine application logicielle critique 14c exécute alors normalement, c'est-à-dire sans retard, ou encore sans décalage temporel, au même premier instant temporel Tl son traitement Al comportant la section critique 46, puis son deuxième traitement A2 au même deuxième instant temporel T2, avant que le coeur commute vers l'exécution de l'application logicielle non-critique 14,c suivante pour qu'elle effectue son traitement B2. [0126] L'homme du métier comprendra alors que, dans ce deuxième exemple E2, le traitement BI de l'application logicielle non-critique NC n'aura pas pu avoir accès à la section critique 46 lors de cette itération, car cet accès a été mis en attente. En effet, si l'application logicielle non-critique 14,c avait pu avoir accès à cette section critique 46 à cet instant pour son traitement BI, alors cet accès exclusif à la ou aux ressources associées à cette section critique 46 aurait ensuite potentiellement entraîné un retard dans l'exécution de la prochaine application logicielle critique 14c.. c'est-à-dire un décalage temporel des premier et deuxième instants temporels T 1 , T2, ce qui est à proscrire. [0127] La figure 6 illustre une deuxième mise en oeuvre de la surveillance selon l'invention selon laquelle l'application logicielle critique 14c est apte à être exécutée sur un premier coeur CO d'un processeur multicoeur de la plateforme 16, pendant que l'application logicielle non-critique I4Nc est apte à être exécutée sur un deuxième coeur 18 Cl dudit processeur, l'application logicielle critique 14c et l'application logicielle non-critique 14Nc ayant néanmoins au moins une ressource partagée 185 en commun, telle qu'une zone mémoire de la mémoire 27 ou une partie du périphérique 28 de la plateforme 16, correspondant à la section critique 46 représentée sur la figure 6. [0128] Dans cette deuxième mise en oeuvre, le troisième exemple E3 est alors un exemple où la section critique 46 de l'application logicielle non-critique 14,c débute avant la période temporelle tampon 44 précédant l'exécution de l'application logicielle critique 14c,et la requête d'accès émise par l'application logicielle non-critique 14,c au début de la section critique 46 pour avoir un accès exclusif à la ou aux ressources18s associées à cette section critique 46 n'est alors pas mise en attente par le module de mise en attente 42. L'application logicielle non-critique 14,c a alors un accès exclusif à la ou aux ressources associées à ladite section critique 46. L'application logicielle non-critique 14Nc libère ensuite la section critique 46 avant la prochaine application logicielle critique 14c comportant ladite section réservée 46, le fait que cette section critique 46 puisse être libérée avant cette prochaine exécution résultant de la prise en compte de la période temporelle tampon 44. [0129] Dans cette deuxième mise en oeuvre, le quatrième exemple E4 illustre un autre exemple où la section critique 46 de l'application logicielle non-critique 14,cdébute cette fois-ci pendant la période temporelle tampon 44 précédant l'exécution de la prochaine application logicielle critique 14-c comportant ladite section critique 46. La requête émise au début de sa section critique 46 par l'application logicielle non-critique 14Nc est alors mise en attente par le module de mise en attente 42, comme schématisé par la boîte 110 dans ce quatrième exemple E4, de sorte que l'application logicielle non-critique 14,c n'a pas accès à la ou aux ressources 185 associées à cette section critique 46 à ce moment-là. Ceci permet alors de réduire le risque que lors de l'exécution de la prochaine application logicielle critique 14c comportant la section critique 46 pour le même ensemble 30 de ressource(s) partagée(s), l'accès exclusif par ladite application logicielle critique 14c à la ou aux ressources 185 associées à cette section critique 46 ne soit retardé du fait de l'application logicielle non-critique 14,c. [0130] L'homme du métier observera en outre que, dans ce quatrième exemple E4, la requête d'accès initialement émise par l'application logicielle non-critique 14Nc au début de sa section critique 46 est mise en attente jusqu'à la fin de l'exécution de l'application logicielle critique 14c comportant ladite section critique 46, comme schématisé par la boîte 110 se terminant en même temps que la fin de l'exécution de l'application logicielle critique 14c. A la fin de cette zone interdite 50, l'application logicielle non-critique 14Nc obtient alors l'accès exclusif à la ou aux ressources 18s associées à ladite section 46, comme schématisé par la flèche représentant la section 46 pour l'application logicielle non-critique 14Nc qui se poursuit après la fin de l'exécution 19 de l'application logicielle critique 14c et la fin de la zone interdite 50. [0131] L'homme du métier comprendra alors que si la requête d'accès émise par l'application logicielle non-critique 14,c l'est pendant une période temporelle tampon 44 correspondante, alors cette requête d'accès n'est pas pour autant rejetée, mais est simplement mise en attente par le module de mise en attente 42, et ce de préférence jusqu'à la fin de l'exécution de l'application logicielle critique 14c comportant la section critique 46 pour le même ensemble 30 de ressource(s) partagée(s). [0132] Ainsi, le dispositif de surveillance 24 et le procédé de surveillance selon l'invention permettent, de par la période temporelle tampon 44, d'éviter qu'une requête d'accès qui serait émise par une application logicielle non-critique 14,c à un mauvais moment, c'est-à-dire à un instant temporel trop proche de la prochaine application logicielle critique 14c comportant une section réservée 46 respective pour le même ensemble 30 de ressourcc(s) partagée(s) que celui pour lequel la requête d'accès a été émise par l'application logicielle non-critique 14,c, vienne ensuite retarder l'exécution de ladite prochaine application logicielle critique 14c. Le cas échéant, le dispositif dc surveillance 24 selon l'invention met alors en attente ladite requête d'accès émise par l'application logicielle non-critique 14,c pour donner la priorité à l'exécution de la prochaine application logicielle critique 14c et éviter un retard dans l'exécution de celle-ci. L'application logicielle non-critique 14,c pourra alors avoir accès exclusivement à la ou aux ressources partagées 18s dudit ensemble 30 à l'issue de l'exécution de cette application logicielle critique 14c. [0133] Ceci permet alors d'offrir un meilleur fonctionnement de la platefonne 16, notamment des applications logicielles critiques 14c devant être exécutées dans un temps donné avec une tolérance temporelle définie, tout en offrant une bonne exécution de toutes les applications logicielles, y compris des applications logicielles non-critiques, puisque les requêtes d'accès émises par les applications logicielles non-critiques 14,c ne sont le cas échéant pas rejetées, mais simplement mises en attente. [0134] En complément facultatif, l'envoi à l'application logicielle non-critique 14,c d'un signal l'informant que sa requête d'accès a été le cas échéant mise en attente, permet à l'application logicielle non-critique 14,c d'être, d'une part, au courant de cette mise en attente, et d'autre part, de pouvoir évaluer l'impact sur son fonctionnement de cette mise en attente. [0135] En complément facultatif encore, la mise en attente de la requête d'accès émise par l'application logicielle non-critique 14,c également si elle est émise pendant l'exécution de la prochaine application logicielle critique 14c comportant ladite section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s) permet d'améliorer encore le fonctionnement de la plateforme 16, en incluant - dans la zone interdite 50 résultant de la période temporelle tampon 44 - également la période temporelle cor- respondant à l'exécution en tant que telle de l'application logicielle critique 14c. [0136] En complément facultatif encore, le calcul de la durée de la période temporelle tampon 44 en fonction du temps d'exécution de pire cas WCET de chaque section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s) permet aussi d'améliorer davantage le fonctionnement de la plateforme 16, en cherchant à garantir que quel que soit le temps d'exécution de chaque section réservée 46 prise en compte, la durée de la période temporelle tampon 44 sera suffisante pour éviter que l'exécution d'une section réservée 46 pour un ensemble 30 de ressource(s) partagée(s) par une application logicielle non-critique 14,c vienne ensuite retarder l'exécution de la prochaine application logicielle critique 14c comportant la section réservée 46 pour ledit ensemble 30 de ressource(s) partagée(s). [0137] On conçoit ainsi que le procédé de surveillance et le dispositif de surveillance 24 selon l'invention permettent d'offrir un meilleur fonctionnement de la plateforme 16, en améliorant l'exécution des applications logicielles 14, notamment des applications logicielles critiques 14c devant généralement être exécutées dans un temps donné avec une tolérance temporelle définie. 21 [Revendication 1] [Revendication 2] [Revendication 3] [Revendication 4]