FR 3092953 A1 20200821 FR 1901557 A 20190215 Description Titre de l'invention : Dispositif électronique et procédé de réception de données via un réseau de communication asynchrone, système de communication et programme d'ordinateur associés [000 La présente invention concerne un dispositif électronique de réception de données via un réseau de communication asynchrone comportant au moins un réseau élémentaire, le dispositif électronique étant configure pour être connecté audit réseau élémentaire. [0002] L'invention concerne également un système électronique de communication de données comprenant un dispositif électronique d'émission et un tel dispositif électronique de réception, reliés entre eux par un réseau de communication asynchrone, le réseau de communication comportant au moins un réseau élémentaire. [0003] L'invention concerne également un procédé de réception de données via un réseau de communication asynchrone comportant au moins un réseau élémentaire, le procédé étant mis en oeuvre par un dispositif électronique de réception connecté audit réseau élémentaire. [0004] L'invention concerne également un programme d'ordinateur comportant des ins- tructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un tel procédé de réception. [0005] L'invention concerne le domaine des systèmes de communication avec réseau de communication asynchrone, par exemple réseau de communication Ethernet, en particulier des systèmes de communication avioniques embarqués à bord d'aéronef, tels que des systèmes de communication avioniques conformes à la partie 7 de la nonne ARINC 664. [0006] On connait du document FR 2 864 393 BI un réseau de communication asynchrone de type Ethernet full-duplex commuté, et un procédé de surveillance d'un tel réseau, notamment dans le domaine avionique. [0007] Le réseau de communication comporte deux réseaux élémentaires indépendants comprenant chacun au moins un équipement source et au moins un équipement destinataire reliés entre eux par au moins un lien physique au travers d'au moins un commutateur. Chaque équipement est relié à chaque réseau élémentaire, et chaque trame émise par un équipement source sur un lien virtuel d'un réseau élémentaire indépendant. comporte un numéro compris clans un intervalle prédéterminé. [0008] En réception par un équipement destinataire d'une trame sur un lien virtuel à un instant donné, le procédé de surveillance comprend, pour la gestion d'une redondance entre réseaux élémentaires, la définition, pour ce lien virtuel, d'une fenêtre comprise 2 dans ledit intervalle prédéterminé, correspondant à des trames déjà reçues à cet instant donné ; la comparaison du numéro de la trame reçue avec ladite fenêtre ; et la prise en compte de la trame reçue lorsque le numéro de trame n'est pas compris dans ladite fenêtre. [0009] Cependant, un tel réseau de communication asynchrone et un tel procédé de sur- veillance ne sont pas très robustes en termes de cyhersécurité et sont notamment sensibles à une éventuelle cyherattaque. [0010] Le but de l'invention est alors de proposer un dispositif électronique et un procédé de réception de données via un réseau de communication asynchrone, qui permettent d'améliorer la surveillance du réseau, et notamment de détecter plus efficacement une cybcrattaque. [0011] A cet effet, l'invention a pour objet un électronique de réception de données via un réseau de communication asynchrone comportant au moins un réseau élémentaire, le dispositif électronique étant configuré pour être connecté audit réseau élémentaire et comprenant : [0012] - un module de réception configuré pour recevoir via le réseau de communication asynchrone plusieurs trames successives de données, chaque trame étant transmise sur ledit réseau élémentaire selon une table d'émission prédéfinie et avec un écart temporel minimal entre les instants temporels d'émission de deux trames successives, [0013] - un module de vérification configuré, pour au moins deux trames de données reçues, pour estimer une gigue de réseau à partir de l'écart temporel minimal et des instants temporels de réception d'au moins deux trames reçues sur ledit réseau élémentaire, puis pour comparer la gigue estimée à une plage autorisée de valeurs de gigue de réseau. [0014] Le dispositif électronique de réception selon l'invention permet alors de par l'estimation de la gigue (de l'anglais jitter) du réseau à partir de l'écart temporel minimal et des instants temporels de réception des trames, puis la comparaison de la gigue estimée à la plage autorisée de valeurs de gigue de réseau, d'améliorer la surveillance du réseau asynchrone. En effet, la surveillance de la gigue de réseau et la détection d'une valeur anormale de gigue permet de déceler plus facilement un remplacement d'un équipement connecté au réseau par un équipement malveillant, un remplacement d'un commutateur réseau (de l'anglais switch) par un commutateur malveillant, ainsi qu'une utilisation anormale du réseau résultant par exemple d'une cyberattaque. [0015] Suivant d'autres aspects avantageux de l'invention, le dispositif électronique de réception comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : [0016] - la plage autorisée de valeurs de gigue de réseau est déterminée via un apprentissage 3 préliminaire comportant l'envoi de séquence(s) prédéfinie(s) de trame(s), [0017] de préférence l'envoi de séquences normales correspondant à des valeurs autorisées de gigue de réseau et de séquences anormales correspondant à des valeurs non-conformes de gigue de réseau ; [0018] - la plage autorisée de valeurs de gigue de réseau est déterminée via une analyse statique du réseau ; [0019] - la plage autorisée de valeurs de gigue de réseau dépend d'une phase de fonc- tionnement dans laquelle se trouve un aéronef à bord duquel le dispositif électronique de réception est destiné à être embarqué ; [0020] - le module de vérification est configuré en outre pour comparer la gigue estimée pour le réseau élémentaire respectif à la ou aux gigues estimées pour le ou les autres réseaux élémentaires d'un groupe de réseaux élémentaires, ce groupe de réseaux élémentaires correspondant à un chemin de transmission de données avec au moins un commutateur réseau en commun ; [0021] - le module de vérification est configuré pour estimer la gigue de réseau à partir de la durée séparant deux instants temporels de réception et d'une période temporelle inter-trames prédéfinic, la période temporelle inter-trames prédéfinie étant fonction de l'écart temporel minimal ; [0022] la période temporelle inter-trames prédéfinie étant de préférence égale à l'écart temporel minimal divisé par un facteur de sur-échantillonnage ; [0023] la période temporelle inter-trames prédéfinie étant de préférence supérieure au double de la valeur maximale de la plage autorisée de valeurs de gigue de réseau ; [0024] - le dispositif est un dispositif avionique conforme à la partie 7 de la nonne ARINC 664, et le module de réception est configuré pour recevoir chaque trame selon un protocole conforme à la partie 7 de la norme ARINC 664 ; et [0025] - le module de vérification est au moins partiellement réalisé sous forme d'un composant logique programmable, tel qu'un FPGA (de l'anglais Field Programmable Gate Array). [0026] L'invention a également pour objet un système électronique de communication de données comprenant un dispositif électronique d'émission et un dispositif électronique de réception reliés entre eux par un réseau de communication asynchrone, le réseau de communication asynchrone comportant au moins un réseau élémentaire, le dispositif électronique d'émission étant configuré pour émettre, à destination du dispositif électronique de réception, plusieurs trames successives de données sur ledit réseau élémentaire, et le dispositif électronique de réception étant tel que défini ci-dessus. [0027] L'invention a également pour objet un procédé de réception de données via un réseau de communication asynchrone comportant au moins un réseau élémentaire, le procédé étant mis en oeuvre par un dispositif électronique de réception connecté audit réseau élémentaire et comprenant : [0028] - une étape de réception, via le réseau de communication asynchrone, de plusieurs trames successives de données, chaque trame étant transmise sur ledit réseau élémentaire et selon une table d'émission prédéfinic et avec un écart temporel minimal entre les instants temporels d'émission de deux trames successives, [0029] - une étape de vérification pour au moins deux trames de données reçues, l'étape de vérification comportant l'estimation d'une gigue de réseau à partir de l'écart temporel minimal et des instants temporels de réception d'au moins deux trames reçues sur ledit réseau élémentaire, puis la comparaison de la gigue estimée à une plage autorisée de valeurs de gigue de réseau. [0030] L'invention a également pour objet un programme d'ordinateur comportant des ins- tructions logicielles qui, lorsqu'elles sont exécutées par un ordinateur, mettent en oeuvre un procédé de réception tel que défini ci-dessus. [0031] Ces caractéristiques et avantages de l'invention apparaîtront plus clairement à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : [0032] [fig.1] la figure 1 est une représentation schématique d'un aéronef équipé d'un système de communication selon l'invention, comprenant au moins deux équipements avioniques reliés entre eux par un réseau de communication asynchrone ; [0033] [fig.2] la figure 2 est une vue schématique illustrant l'émission de trames selon une table d'émission prédéfinie sur un réseau élémentaire du réseau de communication asynchrone de la Figure 1 et avec un écart temporel minimal entre les instants temporels d'émission de deux trames successives ; [0034] [fig.3] la figure 3 est une vue schématique illustrant la surveillance de la réception de trames, à partir des instants de réception et d'une gigue de réseau estimée ; et [0035] [fig.4] la figure 4 est un organigramme d'un procédé de transmission de données au sein du système de communication de la figure 1. [0036] Dans la suite de la description, l'expression « sensiblement égal à » définit une relation d'égalité à plus ou moins 10 %, de préférence à plus ou moins 5 %. [0037] Sur la figure 1, un aéronef 10 comprend un système de communication 12 comportant au moins deux équipements électroniques 14 reliés entre eux par un réseau de communication asynchrone 16, tel qu'un réseau de communication Ethernet redondé. [0038] L'aéronef 10 est de préférence un avion. En variante, l'aéronef 10 est un hélicoptère, ou encore un drone piloté à distance par un pilote. [0039] Le système de communication 12 comporte plusieurs équipements électroniques 14, tels que des équipements avioniques comme dans l'exemple de la figure 1 où le système de communication 12 est embarqué à bord de l'aéronef 10. [0040] Le système de communication 12 comprend un dispositif électronique d'émission 18 et un dispositif électronique de réception 20 reliés entre eux par le réseau de communication asynchrone 16. [0041] Dans l'exemple de la figure 1, chaque équipement électronique 14 est de préférence configure, d'une part, pour émettre des données à destination d'autre(s) équipement(s) électronique(s) 14, et d'autre part, pour recevoir des données de la part d'autre(s) équipement(s) électronique(s) 14. Chaque équipement électronique 14 comprend alors de préférence le dispositif d'émission 18 et le dispositif de réception 20. [0042] L'homme du métier comprendra bien entendu qu'un équipement électronique 14 qui ne serait destiné qu'à émettre des données et pas à en recevoir, comportera alors le dispositif d'émission 18, mais pas le dispositif de réception. Inversement, un équipement électronique 14 qui ne serait destiné qu'à recevoir des données de la part d'autre(s) équipement(s) électronique(s) 14 comportera alors le dispositif de réception 20, mais pas le dispositif d'émission. [0043] Chaque équipement électronique 14 est de préférence conforme à la partie 7 de la norme ARINC 664. [0044] Dans l'exemple de la figure 1, chaque équipement électronique 14 comprend une unité de traitement d'informations 22 formée par exemple d'une mémoire 24 associée à un processeur 26. [0045] Dans l'exemple de la figure 1, un seul équipement électronique 14 est représenté en détail avec les différents dispositifs et modules qu'il contient, par souci de simplification du dessin. [0046] Le réseau de communication 16 comprend au moins un commutateur réseau 28 et au moins une liaison bidirectionnelle 30, chaque commutateur réseau 28 étant connecté à un ou plusieurs équipements électroniques 14 via des liaisons bidirectionnelles 30 respectives. Le réseau de communication 16 comprend de préférence plusieurs commutateurs réseau 28, comme dans l'exemple de la figure 1 où le réseau de communication 16 comprend deux commutateurs réseau 28 reliés entre eux par une liaison bidirectionnelle 30. [0047] L'homme du métier comprendra que, lorsque le réseau de communication 16 est un réseau de communication Ethernet, par exemple de type Ethernet "full-duplex" (bidirectionnel simultané) commuté, chaque commutateur réseau 28 est un commutateur réseau Ethernet, par exemple de type Ethernet "full-duplex" commuté, et chaque liaison bidirectionnelle 30 est une liaison bidirectionnelle Ethernet, par exemple de type Ethemet "full-duplex" commuté [0048] Le réseau de communication 16 est de préférence conforme à la partie 7 de la norme ARINC 664, et chaque commutateur réseau 28 est alors également conforme à la partie 7 de la norme ARINC 664. Le réseau de communication 16 est, par exemple, un réseau 6 AFDX (de l'anglais Avionies Full Duplex stvitched ethernet) avec un ou plusieurs commutateur(s) réseau(x) 28 conforme(s) à la partie 7 de la norme ARINC 664. [0049] Le réseau de communication 16 de type Ethernet "full-duplex" commuté, tel que défini par exemple dans le document US 2003/0152077 Al , est basé sur le standard Ethernet full-duplex commuté décrit par la norme IEEE802.3, et offre des fonctionnalités améliorées par rapport à cc standard pour permettre une meilleure fiabilité dans la transmission des informations, notamment dans le domaine avionique. [0050] Le réseau de communication 16 offre un temps de transmission déterministe de par l'ajout de services de communication sur le réseau Ethernet. Cet aspect déterministe utilise un concept de lien virtuel, qui est une représentation conceptuelle d'une liaison d'un équipement 14 source vers au moins un équipement 14 destinataire. Un tel concept de lien virtuel permet d'isoler les transferts de données entre un équipement 14 source et des équipements 14 destinataires. Un lien virtuel est vu comme un "tuyau" sur le réseau 16. [0051] Comme décrit dans le document FR 2 864 393 Bl, un lien virtuel est caractérisé par exemple par: [0052] - un sens de transfert, le lien virtuel étant monodirectionnel, [0053] - un équipement 14 source unique, [0054] - un ou plusieurs équipements 14 destinataires, [0055] - une bande passante (nombre maximum de paquets et leur taille maximale par seconde) figée, [0056] - un temps maximum garanti de transfert des paquets d'un équipement 14 source vers un équipement 14 destinataire, quel que soit le comportement du reste du réseau 16, chaque lien virtuel ayant son propre temps de transfert, [0057] - un chemin figé sur le réseau 16, et [0058] - un identifiant unique. [0059] Le commutateur 28 connaît, par une table de configuration statique, les liens virtuels qu'il doit commuter ainsi que le nombre de paquets autorisés pour un lien virtuel. [0060] Ce concept de lien virtuel permet de figer les communications entre les équipements 14 en configurant les routes et les bandes passantes allouées aux liens virtuels. Ainsi, le flux formé par un lien virtuel est assuré de ne pas être perturbé par les autres flux partageant les mêmes liens physiques tout au long de sa route dans le réseau. De plus, ce concept de lien virtuel permet, par une gestion centralisée des flux, de s'assurer que la somme des bandes passantes allouées aux liens virtuels sur un même lien physique ne dépasse pas les capacités de la technologie de celui-ci. [0061] Le réseau de communication asynchrone 16 comporte au moins un réseau élé- mentaire, correspondant par exemple à un lien virtuel respectif. [0062] Le réseau de communication asynchrone 16 est de préférence un réseau de commu- 7 nication redondant et comporte au moins deux réseaux élémentaires indépendants, redondants l'un de l'autre. Dans ce cas, deux équipements électroniques 14, un équipement source et un équipement destinataire, communiquent par l'intermédiaire d'au moins deux réseaux élémentaires indépendants. De façon connue, la redondance est réalisée trame par trame sur chacun desdits réseaux. [0063] A titre d'exemple, sur un lien virtuel, l'équipement source envoie successivement des trames 32 d'informations vers l'équipement destinataire. Chacune desdites trames 32 est envoyée, avec un champ de données identique, sur chacun des réseaux. En fonction de la charge et de la configuration desdits réseaux élémentaires, ces deux trames 32 peuvent arriver à l'équipement destinataire à des instants différents. On se place ici dans le cas où les deux réseaux élémentaires fonctionnent correctement et par conséquent les deux trames 32 émises arrivent à l'équipement 14 destinataire. [0064] Une trame 32 de données, ou encore un paquet de données, est définie comme un ensemble de données envoyé en une seule fois sur le réseau de communication 16. Les données de chaque trame 32 ne sont pas interprétées. Le réseau de communication 16 les transporte sans connaître leur signification. [0065] Chaque trame 32 comporte un identifiant de trame et un champ de données. L'identifiant de trame est inclus dans des données réseaux qui sont utilisées pour acheminer la trame 32 à bon port. Le champ de données correspond aux données utiles, qui sont la "charge utile" de la trame. [0066] Chaque trame 32 comporte généralement une partie de données utiles et une partie d'en-tête et de fin de trame. L'identifiant de trame est alors inclus dans la partie d'en-tête et de fin de trame, et le champ de données correspond à la partie de données utiles. [0067] Dans l'exemple de la partie 7 de la norme ARINC 664, l'identifiant de trame est formé d'un identifiant du lien virtuel correspondant, également noté VL_ID (de l'anglais Virtual Link IDentifier), et d'un numéro de séquence, également noté SN (de l'anglais Sequence Nutnber). L'identifiant du lien virtuel correspondant, ou VL_ID, est inclus un champ d'adresse du destinataire (de l'anglais Destination Address), lui-même inclus dans la partie d'en-tête et de fin de trame. Le numéro de séquence est un compteur pour un lien virtuel donné, et s'incrémente à chaque émission d'une trame 32 ayant le même identifiant de lien virtuel (VL_ID), ce qui permet de distinguer deux trames 32 associées à un même lien virtuel. Le numéro de séquence, ou SN, est aussi inclus dans la partie d'en-tête et de fin de trame. [0068] Chaque dispositif électronique d'émission 18 est configuré pour émettre, à des- tination du ou des dispositifs électroniques de réception 20, au moins une trame 32 de données sur chacun des réseaux élémentaires. Chaque dispositif d'émission 18 est configuré pour être connecté à chaque réseau élémentaire. 8 [0069] Dans l'exemple de la figure 1, chaque dispositif d'émission 18 comprend alors un module d'émission 40 configuré pour émettre, à destination du ou des dispositifs électroniques de réception 20, au moins une trame 32 de données sur un réseau élémentaire correspondant, de préférence sur chacun des réseaux élémentaires lorsque le réseau de communication 16 est redondant. [0070] Chaque dispositif d'émission 18 est, par exemple, un dispositif avionique conforme à la partie 7 de la norme ARINC 664, et le module d'émission 40 est alors configuré pour émettre chaque trame 32 selon un protocole conforme à la partie 7 de la norme ARINC 664. [0071] Chaque dispositif électronique de réception 20 est configuré pour recevoir des données, en particulier des trames 32 de données, via le réseau de communication asynchrone 16. Chaque dispositif de réception 20 est configuré pour être connecté à chaque réseau élémentaire. [0072] Chaque dispositif de réception 20 comprend un module de réception 42 configuré pour recevoir via le réseau de communication 16 au moins une trame 32 de données, chaque trame 32 étant transmise sur ledit réseau élémentaire selon une table d'émission TAB prédéfinie et avec un écart temporel minimal BAG entre les instants temporels d'émission de deux trames 32 successives. [0073] Selon l'invention, chaque dispositif de réception 20 comprend un module de véri- fication 44 configure, pour au moins deux trames 32 de données reçues, pour estimer une gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception d'au moins deux trames 32 reçues sur ledit réseau élémentaire, puis pour comparer la gigue estimée G à une plage autorisée de valeurs de gigue de réseau. [0074] Chaque dispositif de réception 20 est, par exemple, un dispositif avionique conforme à la partie 7 de la norme ARINC 664, et le module de réception 42 est alors configuré pour recevoir chaque trame 32 selon un protocole conforme à la partie 7 de la norme ARINC 664. [0075] Chaque commutateur réseau 28 (de l'anglais switch) est connu en soi, et comporte différents ports de communication, également appelés ports de connexion, chaque port de communication étant apte à être connecté à un équipement électronique 14 correspondant. [0076] Dans l'exemple de la figure 1, le module d'émission 40, le module de réception 42 et le module de vérification 44 sont réalisés chacun sous forme d'un logiciel, ou d'une brique logicielle, exécutables par le processeur 26. La mémoire 24 est alors apte à stocker un logiciel d'émission configuré pour émettre au moins une trame 32 de données sur le réseau élémentaire correspondant selon la table d'émission TAB prédéfinie à destination d'autre(s) dispositif(s) de réception 20. La mémoire 24 est 9 également apte à stocker un logiciel de réception configuré pour recevoir via le réseau de communication 16 au moins une trame 32 de données transmise sur ledit réseau élémentaire, et un logiciel de vérification configuré, pour au moins deux trames 32 de données reçues, pour estimer la gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception d'au moins deux trames 32 reçues sur ledit réseau élémentaire, puis pour comparer la gigue estimée G à la plage autorisée de valeurs de gigue de réseau. Le processeur 26 de l'unité de traitement d'informations 22 est alors apte à exécuter le logiciel d'émission dans le cas du dispositif d'émission 18, ou bien à exécuter le logiciel de réception et le logiciel de vérification dans le cas du dispositif de réception 20. [0077] En variante non représentée, le module d'émission 40, le module de réception 42 et le module de vérification 44 sont réalisés chacun sous forme d'un composant logique programmable, tel qu'un FPGA (de l'anglais Field Programmable Gate Array), ou encore sous forme d'un circuit intégré dédié, tel qu'un ASTC (de l'anglais Application Specific Integrated Circuit). [0078] En variante encore, et selon un mode de réalisation préférentiel, le module d'émission 40 et le module de réception 42 sont réalisés chacun sous forme d'un logiciel, ou d'une brique logicielle, exécutables par le processeur 26 ; et le module de vérification 44 est réalisé sous forme d'un composant logique programmable, tel qu'un FPGA. [0079] Lorsque le dispositif électronique de réception 20 est réalisé sous forme d'un ou plusieurs logiciels, c'est-à-dire sous forme d'un programme d'ordinateur, il est en outre apte à être enregistré sur un support, non représenté, lisible par- ordinateur. Le support lisible par ordinateur est par exemple, un médium apte à mémoriser des instructions électroniques et à être couplé à un bus d'un système informatique. A titre d'exemple, le support lisible est un disque optique, un disque magnéto-optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique. Sur le support lisible est alors mémorisé un programme d'ordinateur comprenant des instructions logicielles. [0080] Le module d'émission 40 est configuré pour émettre chaque trame 32 de données sur le réseau élémentaire correspondant selon la table d'émission TAB prédéfinie et avec l'écart temporel minimal BAG entre les instants temporels d'émission de deux trames 32, émises successivement sur ledit réseau élémentaire, comme représenté sur la figure 3. [0081] Dans l'exemple de la figure 2, chaque trame 32 associée à un premier lien virtuel A est noté Ak, où k est un indice entier s'incrémentant à partir de 1. De manière analogue, chaque trame 32 associée à un deuxième lien virtuel B est noté Bi, et chaque trame 32 associée à un troisième lien virtuel C est noté Ck. L'homme du métier comprendra alors que chacun des liens virtuels A, B, C forme un réseau élémentaire dudit réseau de communication asynchrone 16. [0082] Dans cet exemple de la figure 2, la table d'émission TAB prédéfinie comporte une trame Al pour le premier lien virtuel A, une trame B1 pour le deuxième lien virtuel B, et deux trames Cl, C2 pour le troisième lien virtuel C, l'écart temporel minimal BAG étant alors représenté entre les instants temporels d'émission des deux trames Cl, C2. [0083] Le module de vérification 44 est apte à estimer la gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception d'au moins deux trames 32 reçues sur ledit réseau élémentaire, à comparer la gigue estimée G à la plage autorisée de valeurs de gigue de réseau. En complément facultatif, le module de vérification 44 est apte à générer une alerte en cas d'incohérence de la gigue estimée G, c'est-à-dire lorsque la valeur de la gigue de réseau estimée G n'est pas comprise dans la plage autorisée de valeurs de gigue de réseau. [0084] Le module de vérification 44 est de préférence configure pour estimer la gigue de réseau G à partir de la durée AT, séparant deux instants temporels de réception et d'une période temporelle inter-trames ATT prédéfinie, la période temporelle inter-trames ATT prédéfinie étant fonction de l'écart temporel minimal BAG. [0085] La période temporelle inter-trames ATT prédéfinie est, par exemple, égale à l'écart temporel minimal BAG divisé par un facteur de sur-échantillonnage K. [0086] Le module de vérification 44 est par exemple configuré pour estimer la gigue de réseau G selon l'équation suivante : [0087] [Math.1] G min { A TR E( 2 17: RT ) - A T T; (E ( R A TT- aT R [0088] où G représente la gigue de réseau estimée ; [0089] ATR représente la durée séparant les instants temporels de réception de deux trames 32 reçues sur ledit réseau élémentaire par le module de réception 42 ; [0090] E représente l'opérateur partie entière, retournant le plus grand entier inférieur ou égal au nombre considéré, i.e. E(z) est le plus grand entier inférieur ou égal à z ; et [0091] ATT représente la période temporelle inter-trames prédéfinie, ATT vérifiant par exemple l'équation suivante : [0092] [Math.2] iTBA K G - [0093] où BAG représente l'écart temporel minimal entre les instants temporels d'émission de deux trames 32 successives ; et [0094] K représente le facteur de sur-échantillonnage. 11 [0095] L'écart temporel minimal est également appelé BAG (de l'anglais Bandwidth A llocation Gap) et correspond alors à un écart d'allocation de bande passante. [0096] Lorsque le réseau de communication 16 est conforme à la partie 7 de la norme AR1NC 664, et comporte des liens virtuels, également noté VL (de l'anglais Virtual Litzk), cet écart temporel minimal BAG est une caractéristique importante du réseau de communication 16, et correspond à une vitesse maximale à laquelle les données peuvent être envoyées, en ce qu'il est alors garanti qu'elles le seront avec cet intervalle temporel minimal. [0097] Autrement dit, dans le cas d'un réseau de communication 16 est conforme à la partie 7 de la norme AR1NC 664, la bande passante allouée à un lien virtuel se caractérise par l'écart temporel minimal BAG, qui définit le temps minimal entre le début de l'émission de deux trames successives appartenant à un même lien virtuel. Après la traversée du réseau de communication 16, deux trames qui étaient séparées de cet écart temporel minimal BAG peuvent se retrouver accolées au niveau du dispositif de réception 20. Par ailleurs, la partie 7 de la norme AR1NC 664 ne définit pas de valeur maximale de l'écart temporel séparant deux trames d'un même lien virtuel. [0098] Pour un ensemble de trames 32 à émettre en continu sur un même réseau élémentaire, en particulier sur un même lien virtuel, les trames 32 ne peuvent toutefois pas être exactement émises systématiquement avec un écart temporel être deux trames 32 successives égal à cet écart temporel minimal BAG, et un décalage peut alors être observé entre un instant théorique d'émission et un instant observé (ou mesuré) d'émission, ce décalage étant alors appelé gigue d'émission. La gigue d'émission est typiquement inférieure à 500 1..t.s. [0099] L'écart temporel minimal BAG est par exemple sensiblement égal à 16ms ou encore à 32ms. [0100] La table d'émission TAB pet-met alors de maitriser la gigue d'émission, en dé- finissant les instants d'émission de trames 32 successives sur un même réseau élémentaire, en particulier sur un même lien virtuel, et en garantissant alors par construction la durée séparant deux émissions successives de trame 32 sur ledit réseau élémentaire [0101] L'homme du métier observera alors que la table d'émission TAB fournit également une signature temporelle d'émission pour le réseau de communication 16, qui est alors exploitée par le module de vérification 44, afin de détecter une éventuelle anomalie sur le réseau de communication 16. [0102] En complément facultatif, le module de vérification 44 est configuré en outre pour comparer la gigue G estimée pour le réseau élémentaire respectif à la ou aux gigues G estimées pour le ou les autres réseaux élémentaires d'un groupe de réseaux élémentaires, ce groupe de réseaux élémentaires correspondant à un chemin de 12 transmission de données avec au moins un commutateur réseau 28 en commun. [0103] En complément facultatif, le module de vérification 44 est configuré pour mettre en oeuvre un algorithme de gestion de la redondance trame par trame sur chacun des réseaux élémentaires, tel que celui décrit dans le document FR 2 864 393 Bl. [0104] Selon ce complément facultatif, le module de vérification 44 est de préférence configure pour mettre en oeuvre ledit algorithme de gestion de la redondance, avant d'estimer la gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception d'au moins deux trames 32 reçues sur ledit réseau élémentaire, puis de comparer la gigue estimée G à la plage autorisée de valeurs de gigue de réseau. Autrement dit, selon ce complément facultatif, la gigue de réseau G est de préférence estimée après la mise en oeuvre de l'algorithme de gestion de la redondance. [0105] Selon ce complément facultatif, dans l'exemple de réalisation décrit précédemment, où les réseaux élémentaires sont en forme de liens virtuels, le module de vérification 44 est alors apte à comparer la gigue G estimée pour le lien virtuel respectif à la ou aux gigues G estimées pour le ou les autres liens virtuels d'un groupe de liens virtuels, ce groupe de liens virtuels correspondant à un chemin de transmission de données avec au moins un commutateur réseau 28 en commun. [0106] La plage autorisée de valeurs de gigue de réseau est par exemple déterminée via un apprentissage préliminaire comportant l'envoi de séquences prédéfinics de trames. Cet apprentissage préliminaire comporte de préférence l'envoi de séquences normales correspondant à des valeurs autorisées de gigue de réseau et de séquences anormales correspondant à des valeurs non-conformes de gigue de réseau. Par valeurs non-conformes de gigue de réseau, on entend des valeurs en dehors de la plage autorisée de valeurs de gigue de réseau, c'est-à-dire n'appartenant pas à ladite plage autorisée. [0107] Autrement dit, la plage autorisée de valeurs de gigue de réseau est alors déterminée via une méthode d'apprentissage automatique (de l'anglais machine learning). [0108] Parmi ces méthodes d'apprentissage automatique, celles basées sur une approche sta- tistique, par exemple la méthode de Naive Bayes, semblent plus particulièrement adaptées pour caractériser la gigue de réseau depuis le dispositif de réception 20. Dans ce cas, une première phase d'apprentissage supervisé avec labellisation sera mise en place avec des données spécifiquement définies et labellisées pour l'apprentissage. Dans un premier temps, cet apprentissage supervisé permettra d'élaborer le modèle de gigue de réseau, puis celui-ci sera embarqué dans le dispositif de réception 20 pour être utilisé de manière opérationnelle afin de détecter les comportements anormaux. [0109] Parmi ces méthodes d'apprentissage automatique encore, l'impact de données de liens virtuels différents, mais circulant sur des routes physiques communes, est caractérisable par des méthodes d'apprentissage non supervisé, telle qu'une méthode d'agrégation par k-moyenne (de l'anglais cluster k-means) qui effectue une classi- 13 fication des données échangées en fonction de la valeur d'une distance, la distance étant ici choisie pour être caractéristique d'une route réelle, d'est-à-dire de l'impact sur la gigue de réseau de la route réelle commune aux trames de données 32. [0110] En variante ou en complément, la plage autorisée de valeurs de gigue de réseau est déterminée via une analyse statique du réseau de communication 16 et de la table d'émission TAB prédéfinic. [0111] En complément facultatif, la plage autorisée de valeurs de gigue de réseau dépend d'une phase de fonctionnement dans laquelle se trouve l'aéronef 10 à bord duquel le dispositif électronique de réception 20 est destiné à être embarqué. En effet, la bande passante du réseau de communication 16 dépend de la phase de fonctionnement de l'aéronef 10, et la gigue de réseau G variera alors également en fonction de la phase de fonctionnement de l'aéronef 10. A titre d'exemple, une première plage autorisée de valeurs de gigue de réseau est associée à la phase au sol de l'aéronef 10, et une deuxième plage autorisée de valeurs de gigue de réseau est associée aux phases de vol de l'aéronef 10. Ladite deuxième plage comporte de préférence des valeurs supérieures à celles de ladite première plage. Ceci permet alors de tenir compte de différence de trafic entre les phases de vol et au sol. Au sol, la gigue de réseau G est plus faible, car tous les équipements de l'aéronef 10 ne sont pas opérationnels. [0112] En complément, la période temporelle inter-trames ATT prédéfinic est de préférence supérieure au double de la valeur maximale G',,,' de la plage autorisée de valeurs de gigue de réseau. [0113] Le fonctionnement du système de communication 12 selon l'invention va désormais être expliqué à l'aide de la figure 4 représentant un organigramme d'un procédé de transmission de données au sein du système de communication 12 depuis un dispositif d'émission 18 à destination de dispositif(s) de réception 20 via le réseau de communication asynchrone 16. [0114] Lors d'une étape initiale 100, le dispositif d'émission 18 émet, via son module d'émission 40 et à destination de dispositif(s) de réception 20, plusieurs trames 32 de données sur un réseau élémentaire respectif du réseau de communication asynchrone 16. Le réseau élémentaire respectif forme une liaison de données pour la transmission desdites trames 32, et correspond par exemple à un lien virtuel lorsque le réseau de communication 16 est conforme à la partie 7 de la norme ARINC 664. [0115] Lors de l'étape 110, chaque dispositif de réception 20 destinataire reçoit, sur ledit réseau élémentaire, c'est-à-dire sur ladite liaison de données, du réseau de communication asynchrone 16 et via son module de réception 42, les trames 32 de données émises [0116] Chaque dispositif de réception 20 destinataire ayant reçu plusieurs trames 32 vérifie alors, lors de l'étape suivante 120 et via son module de vérification 44, que la valeur de 14 la gigue de réseau estimée à partir de ces trames 32 reçues est cohérente, et génère un signal d'alarme dans le cas contraire. [0117] L'étape de vérification 120 comporte alors une sous-étape 130 lors de laquelle le module de vérification 44 estime la gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception des trames 32 reçues sur ledit réseau élémentaire. [0118] L'étape de vérification 120 comporte ensuite une sous-étape 140 lors de laquelle le module de vérification 44 compare la gigue de réseau G estimée à la plage autorisée de valeurs de gigue de réseau. Une alerte est générée par le module de vérification 44 en cas d'incohérence détectée lors de cette comparaison, c'est-à-dire si la valeur estimée de la gigue de réseau G est en dehors de la plage autorisée de valeurs de gigue de réseau. [0119] La figure 3 illustre alors une vérification que la gigue de réseau G ne dépasse pas la valeur maximale de la plage autorisée de valeurs de gigue de réseau, en calculant des plages temporelles successives autorisées de réception d'une trame 32 suivante à partir de l'instant de réception d'une trame 32 précédente, et ce pour différents niveaux d'évaluation. [0120] Lorsque l'évaluation de la gigue de réseau G au regard de la valeur maximale G,'', de gigue de réseau est faite sur deux trames 32 reçues successivement, c'est-à-dire entre une trame précédente d'identifiant N et une trame suivante d'identifiant N+1, par exemple en se basant sur les instants de réception des trames Cl et C2, ou des trames C2 et C3, ou encore des trames C3 et C4 sur la figure 3, l'évaluation est dite de niveau 1, également noté Ni. De manière analogue, lorsque cette évaluation est faite entre une trame précédente d'identifiant N et une trame suivante d'identifiant N+2, par exemple en se basant sur les instants de réception des trames Cl et C3, ou encore des trames C2 et C4 sur la figure 3, l'évaluation est dite de niveau 2, également noté N2 Similairement, lorsque cette évaluation est faite entre une trame précédente d'identifiant N et une trame suivante d'identifiant N+3, par exemple en se basant sur les instants de réception des trames Cl et C4 sur la figure 3, l'évaluation est dite de niveau 3, également noté N3, et ainsi de suite. [0121] Pour chaque niveau d'évaluation Ni, les plages temporelles successives autorisées de réception de la trame 32 suivante sont alors définies par des durées minimales Tim(Ni) et des durées maximales TiM(Ni) à partir de l'instant de réception de la trame 32 précédente, où i est un indice entier supérieur ou égal à 1, associé au niveau d'évaluation ; et j est un indice entier supérieur ou égal à 1 et s'incrémentant de 1 à chaque nouvelle plage temporelle successive autorisée. Autrement dit et à titre d'exemple, pour le niveau 1 d'évaluation, noté NI, la première plage temporelle autorisée est comprise entre les durées minimale Tim(NI) et maximale TIM(NI), la deuxième plage temporelle autorisée est comprise entre les durées minimale T2m(N1) et maximale T,M(N1), et ainsi de suite, à compter de l'instant de réception de la trame 32 précédente. De manière analogue, pour le niveau 2 d'évaluation, noté N2, la première plage temporelle autorisée est comprise entre les durées minimale T1m(N2) et maximale TIM(N2), la deuxième plage temporelle autorisée est comprise entre les durées minimale T2m(N2) et maximale T2M(N2), et ainsi de suite, à compter de l'instant de réception de la trame 32 précédemment reçue. [0122] Les durées minimale T;m(Ni) et maximale T;M(Ni) vérifient par exemple les équations suivantes respectives : [0123] [Math.3] Tirri(Ni)= i - BAG ( j - 1) - A TT ni Ci X 101241 IMath.41 TiM ( Ni ) = - BAG + ( j 1 ) - A TT ± Gi,, [0125] où i représente l'indice entier du niveau d'évaluation, i > 1 ; [0126] j représente l'indice entier de la plage temporelle autorisée de réception, j > 1 ; [0127] BAG représente l'écart temporel minimal entre les instants temporels d'émission de deux trames 32 successives ; [0128] ATT représente la période temporelle inter-trames prédéfinie, définie précédemment et vérifiant par exemple l'équation (Math2) ; et [0129] Gn,' représente la valeur maximale de la plage autorisée de valeurs de gigue de réseau. [0130] Suivant cette vérification de la gigue de réseau G par rapport à la valeur maximale G de la plage autorisée de valeurs de gigue de réseau, laquelle le module de vérification 44 déclenche alors une alarme, notée ALM, lorsque l'instant de réception d'une trame 32 suivante est en dehors d'une plage temporelle autorisée de réception respective à partir de F instant de réception d'une trame 32 précédente. [0131] Dans l'exemple de la figure 3, une alarme ALM est alors déclenchée dans le cas de la trame C4 reçue après la durée maximale T,M(N2), et avant la prochaine durée minimale T3m(N2), à compter de l'instant de réception de la trame C2 pour cette évaluation de niveau N2. Une alarme ALM est également déclenchée dans le cas de la trame C4 reçue après la durée maximale T,M(N3), et avant la prochaine durée minimale Tn(N3), à compter de l'instant de réception de la trame Cl pour cette évaluation de niveau N3. [0132] Ainsi, le dispositif électronique de réception 20 selon l'invention permet d'estimer la gigue de réseau G à partir de l'écart temporel minimal BAG et des instants temporels de réception des trames, puis de comparer la gigue de réseau G estimée à la plage autorisée de valeurs de gigue de réseau, ceci afin de détecter une valeur anon-talc de la 16 gigue de réseau G. [0133] Cette surveillance de la gigue de réseau G permet alors détecter de manière simple et directement au niveau du dispositif électronique de réception 20 une éventuelle attaque sur le réseau de communication 16, sans devoir recourir à des informations envoyées par des équipements tiers, qui seraient d'ailleurs potentiellement compromis. [0134] La détection d'une valeur anormale de gigue permet de déceler plus facilement un remplacement d'un équipement connecté au réseau par un équipement malveillant. En effet, dans le cas d'un tel remplacement, la gigue de réseau est difficilement maitrisable par l'équipement malveillant, et une valeur anormale suite à ce remplacement sera alors détectée par le dispositif de réception 20. [0135] De la même manière, dans le cas du remplacement d'un commutateur réseau par un commutateur malveillant, la gigue de réseau sera aussi difficilement maitrisable par le commutateur malveillant, et une valeur anormale suite à ce remplacement sera alors détectée par le dispositif de réception 20. Il est d'ailleurs à noter qu'une valeur nulle de la gigue de réseau pouvant être aussi synonyme d'une absence totale de trafic, autre que celui du réseau élémentaire surveillé, sur le réseau de communication sera aussi typiquement détectée par le dispositif de réception 20, en étant alors inférieure à la valeur minimale de la plage autorisée de valeurs de gigue de réseau. Une telle détection est également souhaitée car une absence totale de trafic est suspicieuse. [0136] De manière analogue encore, une cyberattaque utilisant de manière accrue le réseau de communication 16 aura un impact sur la gigue de réseau surveillée, et sera alors détectable par le dispositif électronique de réception 20 selon l'invention. [0137] Le dispositif de réception 20 permet alors de détecter différents types d'attaques mal- veillantes, telles que celles précitées, en particulier des cyberattaques, et permet de manière générale d'améliorer la surveillance du réseau de communication 16. 17 [Revendication 1] [Revendication 2] [Revendication 3] [Revendication 4] [Revendication 5]