FR2919951A1 - Systeme de traitement et d'affichage de donnees - Google Patents

Abstract

L'objet de l'invention est un système de traitement et d'affichage de données qui comprend des moyens de traitement et d'affichage adaptés pour afficher à partir d'un domaine plus sécurisé (A) et sur un même écran (5) d'un dispositif de traitement d'affichage, d'une part des données informatives (104) provenant d'un ou plusieurs domaines moins sécurisé (B) et, d'autre part, des données actives (103) du domaine plus sécurisé en surimpression.

Description

SYSTEME DE TRAITEMENT ET D'AFFICHAGE DE DONNEES La présente invention

concerne un système de traitement et d'affichage de données dans le cadre de l'affichage, sur un même écran, d'informations actives et/ou passives provenant de domaines dont les niveaux de sécurité ou de confiance sont différents.

Elle trouve notamment son application dans le domaine aéronautique et pour des aéronefs dont le système d'information est décomposé en domaines de sécurité différents comme par exemple dans le cas d'avions civils, les avions AIRBUS A380, A350. Dans un tel cadre il est par exemple nécessaire d'afficher, sur un même écran, sans ségrégation de l'écran par multiplexage ou autre, des informations actives et/ou passives provenant de domaines dont les niveaux de sécurité ou de confiance sont différents, le but étant en outre, pour un opérateur, de pouvoir confirmer le déclenchement d'une action dans le domaine le plus sécurisé, tout en conservant à l'écran les informations provenant du domaine le moins sécurisé.

Il y a lieu de réaliser cela en réduisant les risques d'attaques malveillantes conduisant à un affichage erroné notamment de données passives, données informatives par exemple, en réduisant la taille des données échangées du domaine le moins sécurisé vers le domaine le plus sécurisé et en prenant en compte le confort d'utilisation par l'affichage simultané des données provenant des deux domaines. En outre, pour des raisons de sécurité, l'utilisation d'un moyen permettant de ségréguer l'écran en plusieurs zones, chaque zone correspondant à l'affichage des informations provenant d'un domaine de sécurité différent par multiplexage par exemple n'est pas appropriée.

La technique actuelle en matière d'avionique notamment consiste à utiliser un dispositif d'affichage alternativement entre les domaines à visualiser. Un exemple de domaine de haute sécurité est l'architecture des systèmes du domaine du vol d'un aéronef.

Pour le traitement et l'affichage des paramètres des fonctions de vol d'un aéronef, par exemple les données des systèmes d'alimentation en carburant, les données des disjoncteurs de commande de divers circuits avioniques ces systèmes sont reliés à un dispositif de traitement d'affichage sous la forme d'une console comportant un écran et des moyens d'interface homme machine tels qu'un clavier ou un moyen de déplacement et de saisie sur l'écran comme un pointeur à roue ou une souris. Le dispositif de traitement d'affichage est apte à recevoir des données des systèmes du domaine du vol. Ces données viennent de systèmes embarqués du domaine de vol et en fonction de ces données les pilotes ont des actions à réaliser qui transitent par les systèmes du domaine de vol. En fonction des actions des pilotes telles que validation de boutons ou sélection à l'écran de touches de menus ou mise en et hors fonction de systèmes, le dispositif de traitement d'affichage est apte à renvoyer les paramètres des actions de l'opérateur tels que position du pointeur et appui sur une touche affichée à l'écran par les systèmes du domaine du vol. L'architecture des systèmes du domaine du vol est une architecture hautement sécurisée qui est conçu pour qu'aucune intrusion dans les réseaux de ce système pouvant en perturber le fonctionnement ne puisse être commise. De ce fait, il ne doit pas être possible que des commandes ou informations d'un autre domaine tel par exemple les systèmes embarqués de test ou de maintenance comme le système gestionnaire des manuels de maintenance s'affichent directement en même temps et sur le même écran du dispositif de traitement d'affichage que les informations des systèmes du domaine de vol et permettent ainsi des actions sur ces systèmes.

Actuellement la solution est de basculer manuellement ou automatiquement le dispositif de traitement d'affichage de l'un des domaines à l'autre des domaines.

Ceci a pour inconvénient dans le cas de la maintenance notamment d'empêcher l'opérateur de consulter son manuel électronique pendant qu'il intervient sur les systèmes du domaine de vol. Par exemple, une opération de maintenance sur les disjoncteurs d'un 5 système correspond à une page du manuel de maintenance. Lorsque cette page est sélectionnée, le dispositif de traitement d'affichage est basculé sur l'affichage de la page du manuel. Si cette page de manuel demande de réaliser une action de mise en ou hors fonction de certains disjoncteurs, l'opérateur doit basculer l'afficheur sur 10 l'affichage des données du domaine de vol pour exécuter les actions demandées. Ce faisant, il perd l'affichage de la page du manuel qu'il était en train de consulter ce qui est problématique en terme de risque d'erreur et d'ergonomie. Pour résoudre ce problème, il est alors commun de faire afficher, par le domaine le plus sécurisé, une fenêtre de confirmation, avec éventuellement un 15 court descriptif de l'action lancée. Le lancement de l'action est alors confirmé par l'opérateur utilisant le système. Selon l'Hypothèse N 1, la fenêtre de confirmation lancée par le domaine le plus sécurisé va complètement masquer la fenêtre d'information affichée par le domaine le moins sécurisé, puisqu'il n'est pas possible de ségréguer l'écran ni de 20 permettre que les 2 domaines y aient accès simultanément. Selon l'Hypothèse N 2, pour des raisons de sécurité, seules des commandes simples vont transiter du domaine le moins sécurisé vers le domaine plus sécurisé. Le descriptif et le contexte de l'action lancée, informations provenant du domaine le plus sécurisé, seront donc très succincts, voir 25 inexistants. Le problème est donc que l'opérateur ne dispose plus des informations provenant du domaine moins sécurisé lorsqu'il doit confirmer le lancement de l'action. Or, la description exacte de l'action et de son contexte d'où découlent son acceptation ou non de lancer l'action, est décrite dans les informations provenant 30 justement du domaine moins sécurisé. Le problème à résoudre est donc de conserver l'affichage des données provenant du domaine moins sécurisé, alors que l'afficheur a été basculé vers le domaine plus sécurisé pour lancer des actions.

Il est donc nécessaire de trouver un moyen permettant en toute sécurité de conserver certaines données du manuel de maintenance affichées pendant l'affichage des données du domaine de vol, ce en empêchant toute interférence des systèmes du domaine de la maintenance moins sécurisé sur les systèmes du domaine de vol plus sécurisé. La solution proposée par la présente invention est basée sur des moyens permettant de faire afficher par un domaine plus sécurisé et sur un même écran, d'une part des données informatives provenant d'un domaine moins sécurisé dans un premier temps, et d'autre part des données actives du domaine plus sécurisé en surimpression. Ces données actives permettent de lancer une ou plusieurs commande dans et à partir du domaine le plus sécurisé. Le système est toujours composé de deux domaines de sécurité distincte, et d'un afficheur. L'afficheur peut toujours être basculé manuellement ou automatiquement dans l'un des deux domaines, mais les deux domaines ne peuvent en aucun cas utiliser simultanément cet afficheur. On désire par contre que le domaine moins sécurisé affiche à l'écran un certain nombre d'informations, et puisse demander le lancement d'une action qui ne peut être réalisée que par le domaine plus sécurisé. Il est alors nécessaire que le niveau le plus sécurisé prenne la responsabilité de lancer effectivement l'exécution de l'action. Pour ce faire, la présente invention propose un système de traitement et d'affichage de données caractérisé en ce qu'il comprend des moyens de traitement et d'affichage adaptés pour afficher à partir d'un domaine plus sécurisé et sur un même écran d'un dispositif de traitement d'affichage, d'une part des données informatives provenant d'un ou plusieurs domaines moins sécurisé et, d'autre part, des données actives du domaine plus sécurisé en surimpression. Avantageusement, le système de l'invention comprend des moyens de sélection adaptés à basculer manuellement ou automatiquement les moyens de traitement et d'affichage dans l'un des deux domaines et adaptés à interdire l'utilisation simultanée des moyens de traitement et d'affichage par les deux domaines. Selon un mode de réalisation particulier, les moyens de traitement et d'affichage font partie du domaine le plus sécurisé, ce domaine comportant un module de contrôle adapté à recevoir les données du ou des domaines moins sécurisés et à prendre en charge l'affichage de ces données. Préférablement, les données du ou des domaines moins sécurisés sont des données passives.

Selon un mode de réalisation avantageux, le système de l'invention est tel que le domaine le plus sécurisé comprend des moyens de filtrage adaptés à autoriser l'affichage de données actives du seul domaine le plus sécurisé. Il comprend avantageusement des moyens adaptés à lancer, à partir des données actives, une ou plusieurs commande dans et à partir du domaine le plus sécurisé. Dans ce cas, le domaine le plus sécurisé comporte préférablement des moyens de définition de zones actives de l'écran et de limitation de ces zones actives à une zone d'affichage d'une fenêtre de commande affichée par ce domaine.

Les moyens de traitement et d'affichage sont en outre préférablement adaptés à interdire la présence de moyens d'interface homme machine dans les zones de l'écran autres que les zones actives. Selon une solution particulière, le système de l'invention comprend des moyens de traitement séquentiels adaptés à afficher en premier les informations provenant d'un premier module d'envoi de données du ou des domaines moins sécurisés, puis celles provenant d'un second module d'envoi de données du domaine plus sécurisé. Selon un mode de réalisation préférentiel de l'invention, le système de traitement et d'affichage comporte une liaison entre au moins un premier calculateur du domaine moins sécurisé et un second calculateur du domaine plus sécurisé pour permettre le passage d'une trame de données du domaine moins sécurisé vers le domaine plus sécurisé. La trame est avantageusement d'un format prédéfini et réduit excluant le passage de données de commande.

En outre la trame est préférablement définie pour ne contenir que des informations représentatives des données à afficher et d'un format de taille fixe.

Toujours selon ce dernier mode de réalisation, le domaine le plus sécurisé comporte notamment des moyens adaptés à provoquer un affichage des informations contenues dans la trame de façon uniquement passive. D'autres caractéristiques et avantages de l'invention seront apparents à la 5 lecture de la description qui suit d'un exemple de réalisation non limitatif en référence aux dessins qui représentent: aux figures 1A et 1B: une représentation schématique de dispositif d'affichage de deux domaines de l'art antérieur; en figure 2: une représentation schématique d'un exemple de réalisation 10 d'un système de l'invention; en figure 3: une représentation schématique des étapes d'affichage d'informations d'un domaine moins sécurisé et de commandes vers un domaine plus sécurisé selon l'invention; en figure 4: une représentation schématique des étapes d'affichage 15 d'informations d'un domaine moins sécurisé et de commandes vers un domaine plus sécurisé selon une variante de l'invention. Dans le cadre de l'exemple représenté, on considère deux domaines : un domaine A plus sécurisé et un domaine B moins sécurisé. On appellera domaine un système avionique embarqué que ce soit un 20 système complexe comprenant un ensemble de calculateurs en réseau, les logiciels et protocoles associés et les actionneurs et capteurs de ce système ou un système simple comportant un unique calculateur et son logiciel associé en fonction du niveau de complexité des fonctions traitées par ce système. Le domaine A peut être notamment le système de gestion des paramètre 25 de vol, des commandes de vol et des gouvernes, le système de gestion carburant ou le système regroupant la totalité des fonctions nécessaires au vol de l'aéronef. Le domaine B peut être par exemple le système informatisé de gestion de la maintenance, un système cabine non sécuritaire ou autre. L'invention s'applique par exemple à la réalisation des opérations de 30 maintenance avion pour lesquelles, à partir d'un manuel de maintenance contenu dans un calculateur de maintenance, l'opérateur doit effectuer des actions sur le système avionique de l'appareil.

On considère en outre dans le cadre de l'invention un dispositif de traitement d'affichage comportant un écran commun et une console d'interface homme machine commune pour les réseaux informatisés des deux domaines, les deux domaines pouvant accéder de façon séparée (non simultanément) au dispositif de traitement d'affichage. De la sorte, lorsqu'une application du domaine A utilise l'écran du dispositif de traitement d'affichage, alors les applications du domaine B ne peuvent pas accéder à cet écran, et inversement. La figure 1A représente une solution de l'art antérieur.

Le domaine B moins sécurisé est schématisé par le rectangle 1. Le domaine A de haut niveau de sécurité est schématisé par le rectangle 2. Les données 1 a, 1 b à afficher de ces deux domaines sont envoyées sur un commutateur 3 actionné manuellement ou automatiquement qui dirige les informations sur un dispositif de traitement d'affichage 4 comprenant un afficheur 15 5. Le calculateur avionique fait partie du domaine A plus sécurisé car il permet d'agir directement sur les commandes de l'avion. Le calculateur de maintenance contient notamment le manuel de maintenance. Pour que le manuel puisse être mis à jour régulièrement à moindre 20 coût, il doit rester facilement modifiable, et donc dans sur un calculateur ou le niveau de sécurité est plus faible que celui du calculateur avionique. Le calculateur de maintenance est un calculateur du domaine B moins sécurisé. Selon la figure 1A, aucun lien n'existe entre les deux domaines Pour des raisons de sûreté, la ségrégation entre le calculateur avionique et 25 le manuel de maintenance empêche de lancer des actions réalisées par le calculateur avionique, directement depuis le calculateur de maintenance. C'est donc à partir du calculateur avionique que la confirmation de l'action doit être réalisée, afin que celui-ci puisse vérifier, avant confirmation et à partir des données disponibles dans le calculateur avionique de la validité de l'action 30 demandée par l'opérateur, puis exécuter cette action si nécessaire. Le schéma de la figure 1B concerne une variante pour laquelle un numéro de commande peut être envoyé du domaine B vers le domaine A au travers d'une liaison sécurisée et pour lequel l'afficheur 5 bascule automatiquement d'un domaine à l'autre. Cette figure montre toutefois que, du fait de la ségrégation entre les systèmes, lorsque l'opérateur de maintenance décide d'activer la commande (Etapes 3 et 4), alors il n'a plus la vision du manuel de maintenance (étapes 1 et 2), pouvant l'aider à valider et donc confirmer ce choix. Les opérateurs se plaignent de ce manque de visibilité qui existe avec l'utilisation du calculateur de maintenance, par rapport à l'utilisation un manuel papier par exemple. Il est pour eux difficilement compréhensible q'on ne puisse pas inclure la fenêtre de confirmation dans la même fenêtre que le manuel de maintenance. Cela permettrait de conserver la totalité des informations disponibles sur le manuel de maintenance. Ces informations sont, dans tous les cas, beaucoup plus complètes que les informations disponibles à partir du calculateur avionique.

La solution proposée représentée aux figures 2, 3 et 4 est basée sur la possibilité de faire afficher par le domaine A plus sécurisé et sur un même afficheur ou écran 5, d'une part des données informatives et passives provenant d'un ou plusieurs domaines B moins sécurisés et d'autre part des données actives du domaine A de sécurité plus élevé.

Les données actives sont des actions possibles par l'utilisateur : Affichage de zone sur lesquels l'utilisateur peut agir (boutons, zones de saisie, cases à cocher...), et qui permettent de lancer une ou plusieurs commande à partir du domaine le plus sécurisé, et dans ce même domaine. Dans ce cadre, le système de traitement et d'affichage de données de l'invention comprend des moyens de traitement et d'affichage adaptés pour afficher à partir du domaine A plus sécurisé et sur un même écran du dispositif de traitement d'affichage, d'une part des données informatives provenant du ou de plusieurs domaines B moins sécurisés sur une zone inactive 11 a de l'afficheur et, d'autre part, des données actives du domaine plus sécurisé sur une zone active 11 b de l'afficheur. Pour ce faire, comme représenté en figure 2, une liaison 10 est établie entre au moins un premier calculateur 1 du domaine moins sécurisé et un second calculateur 2 du domaine plus sécurisé pour permettre le passage d'une trame de données 9 du domaine moins sécurisé vers le domaine plus sécurisé. Pour éviter toute corruption accidentelle de la trame et pouvoir en contrôler aisément les données, la trame 9 doit avoir le format le plus simple possible et être la plus réduite possible. Ceci est nécessaire pour éviter que la trame ne renferme du code malicieux utilisable et afin que son affichage ne nécessite pas de traitement permettant d'exécuter un tel code, une décompression par exemple. De plus, les données en provenance du domaine B ne doivent être 10 affichées par le domaine A que sur des zones inactives 11 a de l'écran et le domaine A doit être seul maître de la configuration des couleurs. Toutes les données de la trame sont prédéfinies : nombre de couleurs affichables, taille de la trame et liste exacte des pixels contenus dans la trame. Les données informatives sont ainsi envoyées d'un des domaines B moins 15 sécurisé vers le domaine A plus sécurisé dans une trame 9 dont le format est simple comprenant seulement les informations représentatives des données à afficher, sans paramètres de configuration ni de commandes. La trame est prédéfinie et de taille fixe. De plus, les informations contenues dans cette trame sont uniquement 20 destinées à être affichées de façon passive sans action utilisateur possible, à la manière d'un fond d'écran. Ceci est contrôlé par des moyens de transfert disposés dans le domaine le plus sécurisé et par exemple dans un calculateur de gestion de l'affichage comportant selon la figure 2 un module de fusion 6. 25 Cela permet : de réduire les risques d'attaque malveillante lors de l'affichage de données informatives passives erronées. Le domaine plus sécurisé est ainsi protégé de toute attaque malveillante. Dans un but de sécurité le nombre des couleurs affichables par le domaine 30 B sera limité et la gamme de couleurs sera en outre définie par le dispositif de gestion de l'affichage 12 du domaine le plus sécurisé en fonction de la fonction de la couleur. Cela permet: de réduire les risques d'utilisation malveillante permettant de réaliser des affichages très voyants grâce au jeu de couleurs de l'afficheur, un meilleur confort d'utilisation, car il est nécessaire que l'utilisateur puisse voir visuellement le fait que les informations sont passives. de limiter le volume de la trame échangée du domaine le moins sécurisé vers le domaine le plus sécurisé, et donc de pouvoir utiliser des architectures dont les moyens de liaison entre les deux domaines sont potentiellement faibles sur un système embarqué par exemple. Dans ce cas, le domaine le plus sécurisé comporte préférablement des moyens de définition de zones actives de l'écran et de limitation de ces zones actives à une zone d'affichage d'une fenêtre de commande affichée par ce domaine. Les moyens de traitement et d'affichage sont en outre préférablement adaptés à interdire la présence de moyens d'interface homme machine dans les 15 zones de l'écran autres que les zones actives. Le seul lien entre les deux modules d'envoi est préférablement un moyen de liaison autorisant l'envoi de synchronisations du domaine le moins sécurisé vers le module du domaine le plus sécurisé. Le système de l'invention comporte avantageusement un dispositif de 20 filtrage des commandes associé à un pare feu et à un système d'authentification et vérification de l'intégrité des données du ou des domaines moins sécurisés. La réalisation de la fusion des données pour l'afficheur est faite dans un module 6, de fusion ou de synchronisation dont le niveau de sécurité est identique à celui du domaine A le plus sécurisé, et qui : 25 peut recevoir du domaine B le moins sécurisé uniquement les trames d'affichage prédéfinies, peut recevoir des données notamment des trames à afficher depuis le domaine le plus sécurisé, peut envoyer les trames fusionnées à afficher vers l'afficheur, 30 La réception ou l'envoi de données supplémentaires est envisageable, comme : la réception, par le module de fusion 6, de données pour le dispositif de traitement d'affichage, par exemple de données 14 de configuration ou pointeur souris ou boule du dispositif de traitement d'affichage provenant du domaine le plus sécurisé. Comme certaines données rendraient le système plus sensible à des attaques malveillantes. Ces communications supplémentaires sont préférablement 5 limitées par exemple : à l'envoi d'acquittements 13 du module de fusion ou de synchronisation des données pour l'afficheur vers l'un ou l'autre des domaines. Selon la figure 3, le domaine le plus sécurisé gère les affichages du domaine le moins sécurisé lors de l'étape de choix de la commande à réaliser sur 10 des systèmes du domaine le plus sécurisé. Le domaine A le plus sécurisé est représenté sur la gauche de la figure, l'écran ou afficheur 5 au milieu et le domaine B le moins sécurisé sur la droite. On réalise selon cet exemple la séparation sur le même afficheur 5 sous le contrôle du calculateur du domaine le plus sécurisé des informations 104 15 provenant du domaine moins sécurisé et des informations 103 du domaine plus sécurisé, sans réalisation préliminaire d'une fusion commune des données. Dans ce cas, aux étapes El, affichage d'informations et E2, choix par l'opérateur d'une commande correspondant à un numéro de commande donné, Cl selon l'exemple, l'afficheur affiche en premier les informations provenant du 20 module moins sécurisé B. Lorsque l'opérateur a effectué le choix de la commande, le calculateur du domaine B le moins sécurisé envoie une trame 9 contenant les informations de la zone d'information au calculateur du domaine A le plus sécurisé. Le calculateur du domaine A reçoit la trame et envoie à l'afficheur les 25 informations de la zone passive 104 à afficher contenant les informations issues du domaine A à l'étape E4. Le calculateur du domaine A envoie une trame d'acquittement 16 au calculateur du domaine B. Ce dernier envoie alors à l'étape E5 le numéro de commande à réaliser 30 vers le calculateur du domaine A au travers d'un lien sécurisé 15. A l'étape E6, le calculateur du domaine A envoie les informations de la zone active 103 à l'afficheur en correspondance à la commande Cl à réaliser.

La ségrégation des données de la zone passive 104 et données de la zone active 103 pour l'afficheur peut être réalisée par logiciel ou par matériel. L'avantage de la solution matérielle est qu'elle est plus robuste dans le temps car moins sensible aux évolutions des moyens et connaissances de piratage. Le risque résiduel est que le contenu de la trame 9 soit modifié de façon cohérente par malveillance ou accidentellement dans le domaine B lors de sa création ou qu'une trame cohérente soit envoyée par un tiers au domaine A. Cela peut être détecté par un contrôle d'intégrité et/ou une authentification entre les domaines et le module de fusion des données pour l'afficheur. Ceci renforce la sécurité du module de fusion des données pour l'afficheur en évitant la réception de données non intègres ou dont la provenance n'est pas autorisée. Dans le cas où l'on désire afficher les données provenant de plusieurs domaines, alors les domaines moins sécurisés envoient des données vers le module du domaine le plus sécurisé. Ces données seront aussi dans ce cas toutes passives. Seul le domaine le plus sécurisé pourra afficher des données actives. La figure 4 correspond à une variante de réalisation du système pour laquelle le domaine A comprend un calculateur du type module de synchronisation ou module de fusion qui va gérer l'affichage et les données des zones active et passive 103, 104: - à l'étape E11, le Domaine B le moins sécurisé, rectangle 1, affiche des informations 100 sur l'écran 5, - à l'étape E12, l'opérateur demande l'activation d'une commande Cl qui doit être réalisé par le domaine A le plus sécurisé, - à l'étape El 3, le domaine B envoie vers le domaine A une trame 9 de taille fixe représentant la liste des couleurs des pixels à afficher à l'écran ainsi que le formatage de la zone d'information, - à l'étape E14, le domaine A reçoit la trame 9 au niveau d'un module de synchronisation, - à l'étape E15, le calculateur du domaine moins sécurisé envoie le numéro de la commande choisie par l'opérateur au travers d'un lien sécurisé 15, - à l'étape E16, le calculateur du domaine A réceptionne le numéro de la commande et envoie à son module de synchronisation les paramètres de la zone active de l'interface homme machine de la commande à afficher, - à l'étape E17, le module de synchronisation du domaine A affiche à l'écran 5 l'interface homme machine (IHM) de la commande qui n'occupe qu'une partie 11 a de la fenêtre, la zone active 103, et affiche les pixels décrits dans la trame de pixels envoyée par le domaine B dans les parties d'écran 11 a non occupées par l'IHM de la commande, la zone d'information 104. Le module de synchronisation constitue des moyens de traitement séquentiels adaptés à afficher en premier les informations provenant d'un premier module d'envoi de données du ou des domaines moins sécurisés, puis celles provenant d'un second module d'envoi de données du domaine plus sécurisé. En outre, le module de synchronisation du domaine le plus sécurisé constitue des moyens de définition de zones actives de l'écran et de limitation de ces zones actives à une zone d'affichage d'une fenêtre de commande affichée par ce domaine et adaptés à interdire la présence de moyens d'interface homme machine dans les zones de l'écran autres que les zones actives. Dans la figure 4, les paramètres de la zone d'information 100 en haut de l'écran 5 dont l'affichage est requis par le domaine B est envoyée au domaine A.

L'affichage 104 de cette zone d'information par le Domaine A utilise des couleurs différentes et la zone d'affichage du domaine A sur l'écran est différente. Pour que le système soit sécurisé, les exigences suivantes sont prises en compte dans le cadre de l'invention: Les zones actives 103 de l'écran, c'est à dire les zones ou l'opérateur utilisant le pointeur ou le clavier du dispositif de traitement d'affichage peut valider une action ou faire un choix entre deux actions, sont définies par le domaine A et limitées à la zone d'affichage 11a de la fenêtre de commande affichée par ce domaine. Les autres zones de l'écran 104 ne contiennent pas d'éléments d'IHM actifs.

La liste des couleurs utilisées pour l'affichage des informations du domaine B depuis le domaine A doit être la plus petite possible (2 couleurs étant l'idéal).

Ces couleurs sont définies par le domaine A à partir de la fonction de chaque couleur. Le domaine B doit traduire son affichage en un nombre decouleurs gérées par le domaine A. Par exemple, Si le domaine B affiche 24 couleurs, alors que le domaine A n'accepte que 2 couleurs en provenance du domaine B (couleur de fond, et couleur d'écriture par exemple), alors le domaine B doit traduire sa commande d'affichage à l'écran sur 2 couleurs seulement, ces 2 couleurs correspondant aux deux fonctionnalités traitées par le Domaine A. La taille de la trame de pixels est fixe et prédéfinie, son contenu représente tout ou une partie ou plusieurs parties de l'écran affiché par le domaine B. La position des pixels contenus dans la trame est prédéfinie et connue conjointement par les deux domaines. Le contenu est en fait une liste de bits, chaque ensemble de bits décrivant un ou deux pixels selon que l'écran contient un nombre pair ou impair de pixels.

Par exemple, si le domaine A gère un nombre n de couleurs, alors chaque ensemble de nb bits, avec nb = [partie entière de (n/2 +0,5)] bits permet de décrire un pixel. Par exemple, pour 2 couleurs Cl et C2, un seul bit permet de décrire le pixel : - si le bit est égal à 0 alors la couleur est Cl, - si le bit est égal à 1 alors la couleur est C2, Dans le cas de 3 couleurs Cl, C2 et C3, 2 bits permettent de décrire le pixel : - si les bits sont égaux à 00 alors la couleur est Cl, - si les bits sont égaux à 01 alors la couleur est C2 - si les bits sont égaux à 10 ou 11 alors la couleur est C3. Dans le cas où le nombre de pixels décrits est égal à p, alors la taille de la trame est de : partie entière ([p*nb*8 + 7] /8) octets.

Par exemple, si on veut décrire 200 pixels en 2 couleurs, alors la taille de la trame est de partie entière ([2008 + 7] /8) octets = 200 octets. Si on veut décrire 207 pixels en 3 couleurs, alors la taille de la trame est de partie entière ([200*2*8 + 7] /8) octets = 414 octets.

Ainsi, la trame est précisément définie et les données inutiles sont éliminées soit à l'émission de la trame soit par un dispositif de filtrage dans le module de traitement du domaine le plus sécurisé. L'invention décrite dans le cadre d'un exemple d'application à l'affichage de données d'un domaine non sécurisé tel que les calculateurs de maintenance d'un aéronef et la réalisation d'actions dans un domaine sécurisé de l'aéronef n'est pas limitée à cette exemple et est applicable à tout système comprenant au moins deux domaines de niveau de sécurité différents entrant dans le champ des revendications.

Claims (10)

REVENDICATIONS

1 - Système de traitement et d'affichage de données caractérisé en ce qu'il comprend des moyens de traitement et d'affichage adaptés pour afficher à partir d'un domaine plus sécurisé (A) et sur un même écran (5) d'un dispositif de traitement d'affichage, d'une part des données informatives (104) provenant d'un ou plusieurs domaines moins sécurisé (B) et, d'autre part, des données actives (103) du domaine plus sécurisé en surimpression.

2 - Système de traitement et d'affichage de données selon la revendication 1 caractérisé en ce qu'il comprend des moyens de sélection adaptés à basculer manuellement ou automatiquement les moyens de traitement et d'affichage dans l'un des deux domaines et adaptés à interdire l'utilisation simultanée des moyens de traitement et d'affichage par les deux domaines.

3 - Système de traitement et d'affichage de données selon la revendication 1 caractérisé en ce que les moyens de traitement et d'affichage font partie du domaine le plus sécurisé, ce domaine comportant un module de contrôle (6) adapté à recevoir les données du ou des domaines moins sécurisés et à prendre en charge l'affichage de ces données.

4 - Système de traitement et d'affichage de données selon la revendication 3 caractérisé en ce que les données du ou des domaines moins sécurisés sont des données passives (104).

5 - Système de traitement et d'affichage de données selon l'une des revendications 1 à 4 caractérisé en ce que le domaine le plus sécurisé comprend des moyens de filtrage adaptés à autoriser l'affichage de données actives du seul domaine le plus sécurisé.

6 - Système de traitement et d'affichage selon la revendication 5 caractérisé en ce qu'il comprend des moyens adaptés à lancer, à partir des données actives (103), une ou plusieurs commande (Cl) dans et à partir du domaine le plus sécurisé.

7 - Système de traitement et d'affichage selon l'une des revendications précédentes caractérisé en ce que le domaine le plus sécurisé comporte des 30 moyens de définition de zones actives de l'écran et de limitation de ces zonesactives à une zone d'affichage d'une fenêtre de commande affichée par ce domaine et adaptés à interdire la présence de moyens d'interface homme machine dans les zones de l'écran autres que les zones actives.

8 - Système de traitement et d'affichage selon l'une des revendications précédentes caractérisé en ce qu'il comprend des moyens de traitement séquentiels adaptés à afficher en premier les informations provenant d'un premier module d'envoi de données du ou des domaines moins sécurisés, puis celles provenant d'un second module d'envoi de données du domaine plus sécurisé.

9 - Système de traitement et d'affichage selon l'une des revendications précédentes caractérisé en ce qu'il comporte une liaison entre au moins un premier calculateur du domaine moins sécurisé et un second calculateur du domaine plus sécurisé pour permettre le passage d'une trame de données d'un format prédéfini de taille fixe et réduit, ne contenant que des informations représentatives des données à afficher et excluant le passage de données de commande du domaine moins sécurisé vers le domaine plus sécurisé.

10 - Système de traitement et d'affichage selon la revendication 9 caractérisé en ce que le domaine le plus sécurisé comporte des moyens adaptés à provoquer un affichage des informations contenues dans la trame de façon uniquement passive.