FR2999152A1 - Systeme de commande d'aeronef a voies fusionnees - Google Patents

Abstract

L'invention concerne un système de commande d'aéronef, situé dans la baie avionique, comprenant un calculateur (210), un équipement distant (230), tel qu'un actionneur de gouvernes, et un réseau AFDX (220). Le calculateur comprend un premier module (211) et un second module (212), respectivement relié à un premier module (231) et un second module (232) correspondants de l'équipement, au moyen d'un premier et d'un second liens virtuels partageant un chemin commun à travers le réseau, les premier et second liens virtuels étant ségrégués au moyen d'un codage distinct au niveau applicatif. Un dispositif (235) de réplication et/ou commutation de trames est relié d'une part au port commun (PE) et, d'autre part aux ports (PCOME, FMONE) des premier et second modules de l'équipement.

Description

SYSTÈME DE COMMANDE D'AÉRONEF À VOIES FUSIONNÉES DESCRIPTION DOMAINE TECHNIQUE La présente invention concerne de manière générale les systèmes de commande d'aéronef. ÉTAT DE LA TECHNIQUE ANTÉRIEURE Le système de commande de vol d'un aéronef fait le lien entre les organes de pilotage (manche, palonnier, etc.) et les gouvernes aérodynamiques (ailerons, dérives, gouvernes de profondeur etc.). Les avions de ligne modernes possèdent des systèmes de commande de vol de type électrique dans lesquels les actions mécaniques sur les organes de pilotage sont converties en des signaux analogiques qui sont transmis à des actionneurs manoeuvrant les gouvernes. Un système de commande de vol comprend en général une pluralité de calculateurs destinés à recevoir des informations d'organe de pilotage et/ou de capteurs avion (accéléromètre, gyromètre, centrale inertielle) et à déterminer à partir des informations reçues les commandes de vol à appliquer aux actionneurs. Les systèmes de commande de vol traditionnels utilisent des calculateurs spécifiques pour chaque fonction de pilotage et des bus avioniques de type ARINC 429 ou MIL-STD-1553, pour transmettre les commandes aux actionneurs. Une génération plus récente de systèmes de commande de vol fait appel à une architecture modulaire intégrée dite IMA (Integrated Modulor Architecture), c'est-à-dire à des calculateurs génériques se présentant en pratique sous la forme de cartes électroniques montées dans un rack de la baie avionique et se différenciant essentiellement par le logiciel qui y est exécuté. En outre, ces nouveaux systèmes de commande de vol utilisent un réseau de communication AFDX (Avionics Full Duplex Switched Ethernet) pour transmettre les commandes aux actionneurs.

On rappelle que le réseau AFDX, spécifiquement développé pour les besoins de l'aéronautique, est basé sur un réseau Ethernet commuté. On pourra trouver une description détaillée des caractéristiques de ce réseau dans le document intitulé « AFDX protocol tutorial » disponible sur le site www.condoreng.com ainsi que dans la demande de brevet FR-A-2832011 déposée au nom de la demanderesse. On trouvera en outre une description d'un système de commande de vol utilisant une architecture IMA dans la demande FR-A-2943036 déposée au nom de la présente demanderesse. La Fig. 1 illustre de manière schématique l'architecture d'un système de commande de vol, 100, connu de l'état de la technique. Ce système comprend généralement une pluralité de calculateurs génériques, 110, recevant des informations provenant des organes de pilotage (non représentés) ainsi que, le cas échéant, d'un ensemble de capteurs avion (également non représentés). Les calculateurs déterminent à partir de ces informations les commandes de vol à appliquer aux actionneurs.

Les calculateurs transmettent les messages de commande aux actionneurs via le réseau AFDX 120. Plus précisément, chaque actionneur est équipé d'un terminal 130, abonné au réseau AFDX, capable de recevoir les messages de commande et de renvoyer des messages d'information ou d'acquittement aux calculateurs. Un actionneur peut en outre être équipé de capteurs permettant de mesurer la position de la gouverne actionnée, auquel cas le terminal associé peut également renvoyer vers le calculateur qui le commande les informations de la mesure de position en question. Dans la suite, pour des raisons de commodité, on se réfèrera indifféremment à l'actionneur ou à son terminal associé, 130, étant entendu qu'un actionneur abonné au réseau est en fait un actionneur équipé d'un terminal abonné au réseau AFDX. Le réseau AFDX comprend une pluralité de commutateurs de trames 140 installés dans la baie avionique (délimitée sur la figure par un trait discontinu) et commutant les liens virtuels (Virtual Links) à destination et/ou en provenance des différents abonnés au réseau, en particulier les liens virtuels reliant les calculateurs 110 et les actionneurs abonnés 130.

Afin de réduire le nombre et la longueur des liaisons filaires, le réseau AFDX peut comprendre des équipements de commutation de trames dénommés micro-commutateurs. Ces micro-commutateurs permettent de traiter localement les trames en provenance ou à destination d'une grappe de terminaux abonnés au réseau. Plus précisément, un micro-commutateur possède un premier port, généralement relié à un commutateur AFDX ou directement à un calculateur, et une pluralité de seconds ports reliés aux différents terminaux abonnés. Sur la liaison descendante, c'est-à-dire pour des trames reçues par le premier port à destination d'un terminal abonné, le micro-commutateur joue le rôle de répéteur (hub), c'est-à-dire qu'une trame incidente sur le premier port est répliquée sur tous les seconds ports. Les terminaux abonnés qui la reçoivent déterminent s'ils sont destinataires, et l'ignorent dans la négative et la prennent en considération dans l'affirmative. En revanche sur la liaison montante, c'est-à-dire pour des trames émises par les différents terminaux abonnés, le micro-commutateur scrute tour à tour les seconds ports et vide leurs tampons respectifs sur le premier port, selon un mécanisme de type « round robin », assurant ainsi un partage équitable de la bande passante. On remarquera que le système de commande de vol illustré en Fig. 1 comprend une pluralité de tels micro-commutateurs AFDX, 150, reliés chacun à un commutateur de la baie avionique. Un lien virtuel reliant un calculateur et un actionneur passe par un ou plusieurs commutateurs, puis, le cas échéant par un micro-commutateur. Chaque calculateur 110 comprend deux modules de calcul, à savoir un module de commande, 111, dit module COM, et un module de surveillance, 112, dit module MON. Les modules MON et COM sont de structure identique et ne diffèrent que par la manière dont ils sont programmés (algorithmes différents). Un module COM peut être reconfiguré en module MON et réciproquement. Les modules MON et COM se présentent en pratique sous la forme de cartes IMA montées dans un rack ou de boitier IMA, de la baie avionique. Le module COM transmet aux actionneurs des messages de commande via le réseau AFDX et reçoit des messages d'information ou de confirmation de la part de ces derniers.

Le module MON reçoit également les messages d'information ou de confirmation des actionneurs et vérifie la cohérence entre les messages de commande envoyés par le module COM et les messages d'information ou de confirmation qui sont retournés à cette dernière par les différents actionneurs. Le module MON peut ainsi détecter une défaillance de l'actionneur commandé par le module MON. De manière symétrique, chaque terminal 130 associé à un actionneur est généralement équipé d'un module de commande, COM, représenté par 131 et d'un module de surveillance, MON, représenté par 132. Le module COM est chargé d'appliquer les ordres électriques en fonction des messages de commande émis par le calculateur. Le module MON est quant à lui chargé de vérifier si les ordres électriques transmis par le module COM à l'actionneur sont bien cohérents avec les commandes transmises par le calculateur et, en cas d'anomalie d'en avertir le calculateur. Le module COM d'un calculateur est relié aux modules COM des actionneurs qu'il commande. On appelle communément voie COM une liaison entre un module COM d'un calculateur et un module COM d'un actionneur. De manière duale, les modules MON de ces actionneurs sont reliés au module MON du calculateur en question. De manière similaire, on appelle voie MON une liaison entre un module MON d'un calculateur et un module MON d'un actionneur. Dans les systèmes de commande de vol actuels, les voies COM et MON sont spatialement ségréguées. Autrement dit, les voies COM et les voies MON ne partagent aucun élément commun du réseau AFDX. Elles n'empruntent notamment pas les mêmes commutateurs ou micro-commutateurs et n'utilisent pas les mêmes liaisons filaires. Cette ségrégation spatiale a pour but d'éviter une corruption simultanée des informations sur les deux voies et donc de maintenir un niveau de sûreté élevé.

Enfin, le réseau AFDX est redondé pour satisfaire à des exigences de disponibilité. Autrement dit, les abonnés du réseau sont connectés à deux réseaux AFDX identiques (encore dénommés couches de réseau), désignés par A et B. Ainsi chaque module COM C- a d'un calculateur comporte un premier port, POMAc , relie la couche A et un second port Pccv"B relié à la couche B. Le module COM du terminal destinataire comprend également un port PEcatIA relié à la couche A et un port PEc0t1B à la couche B. Lorsque le module COM d'un calculateur transmet un message de commande au terminal destinataire, deux messages identiques sont en fait transmis en parallèle par les ports p0 M4 pcCOMB respectivement sur les couches A et B. On distingue alors une voie COM A et une voie COM B selon le réseau par lequel la voie COM transite. De la même façon, chaque module MON d'un calculateur ou d'un terminal destinataire, comporte un premier port, PcMONA , relié au réseau A et un second port, Pcm°1vB, relié au réseau B. On distingue alors une voie MON A et une voie MON B, selon le réseau par lequel la voie MON transite. Dans tous les cas, les messages transmis sur les deux réseaux A et B sont strictement identiques. Les contraintes de ségrégation spatiale d'une part et la redondance du réseau AFDX d'autre part impliquent que pour chaque calculateur 110 commandant un actionneur 130, quatre câbles soient nécessaires, correspondant respectivement aux voies COM A, COM B, MON A, MON B. Étant donné que la plupart des gouvernes sont situées loin de la baie avionique, la quantité de câblage nécessaire pour relier les actionneurs aux noeuds du réseau est donc particulièrement importante. L'objet de la présente invention est par conséquent de proposer un système de commande d'aéronef remédiant aux inconvénients indiqués précédemment, en particulier de réduire le câblage entre la baie avionique et les actionneurs sans sacrifier les exigences de sûreté et/ou de disponibilité précitées. EXPOSÉ DE L'INVENTION La présente invention est définie par un système de commande d'aéronef comprenant un calculateur et un équipement distant, le calculateur comprenant un premier et un second modules, le premier module du calculateur étant relié à un premier module dudit équipement à travers un réseau AFDX au moyen d'un premier lien virtuel, et le second module du calculateur étant relié à un second module dudit équipement à travers ce même réseau, dans lequel : - ledit équipement comprend un dispositif de répétition et/ou commutation de trames relié, d'une part à un port commun de l'équipement connecté au réseau AFDX, et, d'autre part, à un port du premier module de l'équipement et un port du second module de l'équipement ; - lesdits premier et second liens virtuels partagent un chemin commun à travers le réseau AFDX, chaque trame transmise sur le premier ou le second lien virtuel étant obtenue par codage à un niveau de protocole supérieur à celui de la couche liaison, le codage étant distinct pour lesdits premier et second liens virtuels. Selon une première variante, le dispositif de répétition et/ou commutation de trames est un dispositif hybride de répétition et de commutation de trames, toute trame transmise par le calculateur à l'équipement distant, arrivant sur le port commun, étant répliquée par ledit dispositif pour être envoyée sur le port du premier module ou le port du second module, toute trame transmise par l'équipement distant au calculateur, en provenance du premier module ou du second module de l'équipement étant commutée par ledit dispositif vers le port commun. Selon une seconde variante, le dispositif de répétition et/ou commutation de trames est un commutateur de trames, chaque trame arrivant sur un port du commutateur étant commutée sur un autre port en fonction du lien virtuel auquel elle appartient. Selon une troisième variante, le dispositif de répétition et/ou commutation de trames est un répéteur de trames, chaque trame arrivant sur un port du répéteur étant répétée sur tous ses autres ports. Selon un premier mode de réalisation le système de command d'aéronef comprend : - une première application émettrice hébergée par le premier module du calculateur code préalablement les paquets qu'elle émet à l'aide d'un premier code CRC au niveau applicatif, les paquets ainsi codés étant transmis sous forme de trames sur le premier lien virtuel, une première application destinatrice hébergée par le premier module de l'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide dudit premier code CRC; - une seconde application émettrice hébergée par le second module du calculateur code préalablement les paquets qu'elle émet à l'aide d'un second code CRC au niveau applicatif, distinct du premier, les paquets ainsi codés étant transmis sous forme de trames sur le second lien virtuel, une seconde application destinatrice hébergée par le second module de l'équipement vérifiant l'intégrité de chaque paquet reçu à l'aide dudit second code CRC.

Selon un second mode de réalisation, le système de commande d'aéronef comprend : - une première application émettrice hébergée par le premier module du calculateur signe numériquement préalablement les paquets qu'elle émet à l'aide d'un système à clé publique utilisant une première fonction de hachage et une première clé publique, les paquets ainsi signés étant transmis sous forme de trames sur le premier lien virtuel, une première application destinatrice hébergée par le premier module de l'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide d'une première clé privée correspondant à la première clé publique ; - une seconde application émettrice hébergée par le second module du calculateur signe numériquement préalablement les paquets qu'elle émet à l'aide d'un système à clé publique utilisant une seconde fonction de hachage et une seconde clé publique, distincte de la première, les paquets ainsi signés étant transmis sous forme de trames sur le second lien virtuel, une seconde application destinatrice hébergée par le second module de l'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide d'une seconde clé privée correspondant à la seconde clé publique. Selon un troisième mode de réalisation du système de commande d'aéronef, - le réseau AFDX présente une première couche, A, et une seconde couche, B, de structure identique ; - les premier et second modules du calculateur possèdent chacun un premier port relié à la couche A et un second port relié à la couche B; - les premier et second modules de l'équipement possèdent chacun un premier port relié à la couche A et un second port relié à la couche B; - l'équipement possède un premier port commun relié à la couche A et un second port commun relié à la couche B, l'équipement comprenant en outre un premier dispositif de réplication et/ou commutation de trames, relié, d'une part, au premier port commun de l'équipement et, d'autre part, aux premiers ports des premier et second modules de l'équipement, ainsi qu'un second dispositif de réplication et/ou commutation de trames, relié d'une part, au second port commun de l'équipement et, d'autre part, aux seconds ports des premier et second modules de l'équipement.

Dans un quatrième mode de réalisation du système de commande d'aéronef, le réseau AFDX présente une première couche, A, et une seconde couche, B, de structure identique, et : - les premier et second modules du calculateur possèdent chacun un premier port relié à la couche A et un second port relié à la couche B; - l'équipement possède un premier port commun relié à la couche A et un second port commun relié à la couche B, l'équipement comprenant en outre un premier dispositif de réplication et/ou commutation de trames, relié, d'une part, au premier port commun de l'équipement et, d'autre part, aux ports des premier et second modules de l'équipement, ainsi qu'un second dispositif de réplication et/ou commutation de trames, relié d'une part, au second port commun de l'équipement et, d'autre part, aux ports des premier et second modules de l'équipement ; - les trames incidentes sur le port d'un module de l'équipement étant sélectivement reçues par un premier et un second ports logiques selon qu'elles ont été transmises par la couche A ou la couche B.

L'équipement distant peut-être par exemple un actionneur de gouvernes, ledit actionneur étant abonné au réseau AFDX. Les premiers modules du calculateur et de l'équipement sont typiquement des modules de commande, et les seconds modules du calculateur et de l'équipement sont des modules de surveillance.

Avantageusement, les premier et second modules du calculateur sont des modules de commande de structure identique et les premier et second modules de l'équipement sont également des modules de commande de structure identique. L'invention concerne également un aéronef comprenant un système de commande d'aéronef comme exposé ci-dessus. BRÈVE DESCRIPTION DES DESSINS D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de modes de réalisation préférentiels de l'invention fait en référence aux figures jointes parmi lesquelles : La Fig. 1 illustre schématiquement l'architecture d'un système de commande de vol connu de l'état de la technique ; La Fig. 2 illustre schématiquement l'architecture d'un système de commande d'un aéronef selon un premier mode de réalisation de l'invention ; La Fig. 3 illustre schématiquement l'architecture d'un système de commande d'un aéronef selon un second mode de réalisation de l'invention ; Les Figs. 4A et 4B illustrent deux variantes d'interface de l'équipement distant de la Fig. 3. La Fig. 5 illustre schématiquement l'architecture d'un système de commande d'un aéronef selon un troisième mode de réalisation de l'invention ; La Fig. 6 illustre schématiquement l'architecture d'un système de commande d'un aéronef selon un quatrième mode de réalisation de l'invention. EXPOSÉ DÉTAILLÉ DE MODES DE RÉALISATION PARTICULIERS On considère à nouveau un système de commande d'aéronef comprenant une pluralité de calculateurs génériques situés dans la baie avionique, un pluralité d'équipements distants et un réseau AFDX permettant de relier les premiers aux seconds grâce à des liens virtuels. Par équipement distant on entend ici un équipement situé hors de la baie avionique. Cet équipement est abonné au réseau AFDX, c'est-à-dire peut recevoir et transmettre des trames sur ce réseau à destination et en provenance d'un calculateur générique, et de manière plus générale d'un autre abonné à ce réseau. Les calculateurs génériques peuvent être regroupés sous forme de systèmes de commande élémentaires prenant respectivement en charge des fonctions particulières de l'aéronef, telles que le système de commande de vol, le système de commande de propulsion, le système de commande de freinage du train d'atterrissage, le système de commande de l'orientation des roues, le système de commande des circuits hydrauliques, etc., chaque système de commande élémentaire contrôlant un ou plusieurs équipements distants via le réseau AFDX. Dans un but de simplification de la présentation et sans préjudice de généralisation, on considérera dans la suite le cas d'un calculateur générique relié à un équipement distant. Cet équipement distant peut être par exemple un actionneur de gouverne, un actionneur du système de freinage, un actionneur du système de propulsion, etc. Il est toutefois clair pour l'homme du métier que le système de commande peut comprendre plusieurs calculateurs génériques, chacun contrôlant un ou plusieurs équipements distants. L'idée à la base de l'invention est de garantir l'intégrité des voies COM et MON reliant un calculateur à un équipement sans recourir à une ségrégation spatiale de celles-ci entre le commutateur AFDX auquel est relié le calculateur et l'équipement. Plus précisément, la garantie de l'intégrité de ces voies est obtenue par un codage distinct de ces voies, intervenant à un niveau de protocole supérieur à celui de la couche liaison, de préférence à un niveau applicatif. Au sein de l'équipement, un dispositif de répétition/commutation est prévu pour répliquer les trames sur la voie descendante et pour les commuter sur la voie montante, comme décrit en détail plus loin. La Fig. 2 représente schématiquement un système de commande selon un mode de réalisation de l'invention. Le système de commande, 200, comporte un calculateur générique 210, comprenant un module de commande COM, 211, et un module de surveillance, MON, 212. Les modules COM et MON sont typiquement des cartes électroniques IMA identiques mais dotés de logiciel différents. De même, l'équipement 230, comprend un module de commande COM, 231 et un module de surveillance MON, 232. Le calculateur 210 reçoit généralement des informations d'organes de commande (non représentés) à partir desquelles il détermine les messages de commande à transmettre à l'équipement 230. Plus précisément, sur la voie descendante, le module COM du calculateur, 211, transmet des messages de commande au module COM de l'équipement distant, 231, grâce à un premier lien virtuel Vecom . De même, le module MON du calculateur, 212, peut transmettre des messages sur la voie descendante, grâce à un second lien virtuel VLD maw - De la même façon, sur la voie montante, le module COM (resp. MON) de l'équipement distant, 231 (resp . 232), transmet des messages d'acquittement ou d'information au module COM (resp. MON), 211 (resp. 212) du calculateur à l'aide d'un troisième lien virtuel VLucom non représenté (resp. d'un quatrième lien virtuel VLumoN également non représenté). Il est important de noter que les liens virtuels Vrcom et VLDm0A, empruntent le même chemin à travers le réseau entre le commutateur AFDX, 240, et le port commun PE de l'équipement. De la même façon, les liens virtuels VLuoem et VLumoN empruntent le même chemin à travers le réseau entre le port commun PE de l'équipement et le commutateur AFDX. En d'autres termes, dans le cas présent, une seule liaison physique est nécessaire entre le commutateur AFDX et l'équipement 230. On a supposé sur la Fig. 2 que le chemin emprunté par les liens virtuels VLDcom et VLDiv/mT, d'une part, et les liens virtuels VLucom et VLumoN, d'autre part, passait par un commutateur AFDX 240 et un micro-commutateur AFDX 250. Toutefois dans certains cas (par exemple si l'équipement ne fait pas partie d'une grappe), seul le commutateur AFDX 240 peut être présent, auquel cas le port PE est directement connecté à un port du commutateur. Dans d'autres cas, à l'inverse, seul le micro-commutateur AFDX 250 peut être présent, auquel cas les ports respectifs Pc.cDm et Pr" des modules COM et MON du calculateur 210, ainsi que le port PE de l'équipement sont reliés à l'un des seconds ports du micro-commutateur. Dans un cas particulier, afin d'augmenter le nombre de calculateurs ou d'équipements connectés, un deuxième micro-commutateur peut être relié au premier. Les deux micro-commutateurs sont alors reliés directement par leur premier port dans une configuration dite tête-bêche telle que décrite dans la demande WO-A-2009/030706 au nom de la présente demanderesse. Quelle que soit la configuration utilisée, l'équipement 230 comprend un dispositif de répétition/commutation 235. Ce dispositif, interne à l'équipement, possède un premier port, noté Pu , connecté au port PE et deux seconds ports, notés Pi et 12, respectivement connectés aux ports PEoem et PrN des modules COM, 231, et MON, 232. Ce dispositif commute ou bien réplique les trames incidentes sur l'un de ses ports vers ses deux autres ports, comme détaillé dans les variantes ci-dessous. Selon une première variante, le dispositif de répétition/commutation 235 joue le rôle d'un micro-commutateur. Dans ce cas, les trames incidentes sur le premier port Pm sont répliquées sur chacun des seconds ports Pi et P2 (fonction de répéteur sur la voie descendante) et les trames incidentes sur les ports Pi et P2 sont transmises à tour de rôle sur le premier port Pm (fonction de commutation sur la voie montante). Ainsi, lorsqu'une trame est transmise par le module COM, 211, du calculateur au module COM, 231, de l'équipement, elle est de fait répliquée par le dispositif 235, et envoyée à la fois sur le port PEc" et le port PrN . Cependant, le module MON rejettera cette trame, puisque, après inspection de son entête, il déterminera qu'il n'en est pas le destinataire. Selon une seconde variante, le dispositif, de répétition/commutation 235 joue le rôle d'un simple répéteur. Son fonctionnement sera donc identique à celui de la première variante pour ce qui concerne la voie descendante. En revanche, sur la voie montante, si par exemple le module COM, 231, de l'équipement émet une trame à destination du module COM, 211, du calculateur, cette trame sera répliquée par le dispositif 235 à la fois _3 sur le port Pm et le port I. Toutefois, le module MON qui recevra cette trame la rejettera puisqu'il n'en est pas le destinataire. Selon une troisième variante, le dispositif de répétition/commutation 235 joue le rôle d'un commutateur AFDX. Dans un tel cas, les liens virtuels VLDcom et VLDmoiv sont routés jusqu'aux ports PEcym et PL,m. °N respectivement, autrement dit les trames destinées aux modules COM, 231, et MON, 232, sont commutées par le dispositif 235 respectivement sur ses ports Pi et P2. De même, les liens virtuels VLucom et VLumow sont issus des PEoem et PrN, et routés vers le port Pm . Autrement dit, les trames issues des modules COM, 231, et MON, 232, arrivant respectivement sur les ports p et P2 sont commutées par le dispositif en question vers le port Pm. Il convient de noter que la troisième variante, à la différence des variantes précédentes, permet de router des liens virtuels entre les modules COM et MON au cas où une communication entre ces deux modules s'avérerait nécessaire. Quelle que soit la variante envisagée, l'intégrité des voies COM et MON à travers le réseau (autrement la ségrégation des liens virtuels VLDcom et VLD,o, sur la voie descendante et des liens virtuels VLuOM et VLuMON sur la voie montante) est assurée au C moyen d'un codage à un niveau de protocole supérieur à celui de la couche liaison dans le modèle OSI, de préférence au moyen d'un codage au niveau applicatif. Ce codage s'applique aux paquets ou PDUs (Packet Data Units) de la couche en question et peut comprendre par exemple un calcul de CRC ou une signature numérique de chaque paquet. Le code CRC ou la signature numérique est adjoint(e) au paquet. Plus précisément, une application émettrice sur la voie COM (exécutée par exemple dans le module COM du calculateur) ou sur la voie MON (exécutée par exemple dans le module MON du calculateur) utilise un codage CRC et/ou une signature numérique pour la transmission de ses paquets. Par signature numérique d'un paquet, on entend l'application d'une fonction de hachage pour générer un condensat et le cryptage du condensat à l'aide d'un mécanisme de cryptage à clé publique, de manière connue en soi. Le condensat ainsi crypté, autrement dit la signature, est adjoint(e) au paquet. Selon le cas, l'application réceptrice utilise le code de CRC ou la clé privée de cryptage pour déterminer si le paquet reçu de l'application émettrice est intègre, c'est-à-dire pour vérifier que les données du paquet n'ont pas été altérées au cours de la transmission sur le réseau. Un paquet dont les données sont altérées est rejeté. Le mécanisme de garantie de l'intégrité par codage a été décrit dans la demande FR-A-2 933 557 déposée au nom de la présente demanderesse. On a noté par 271 et 272 des applications émettrices exécutées respectivement par les modules COM et MON du calculateur. Les applications réceptrices exécutées respectivement pas les modules COM et MON de l'équipement ont été notées 281 et 282. Selon une première variante, les applications 271 et 272 utilisent des codes CRC distincts. Les bits de parité sont ajoutés au paquet transmis par l'application 271, resp. 272. Il convient de noter que ce mécanisme de protection est différent du mécanisme de protection sous-jacent qui peut être présent au niveau de la couche liaison (protection des trames AFDX par CRC). Selon une seconde variante, les applications 271 et 272 utilisent des fonctions de hachage h, et k (distinctes ou non) ainsi que des clés publiques PUK/ et PUK2 distinctes. Chaque paquet de l'application 271 (resp. 272) est haché au moyen de la fonction de hachage h, (resp. h2) et signé à l'aide de la clé publique PUKI (resp. PUK2) avant d'être transmis sous forme de trames sur le lien virtuel VLDcom (resp. VLDmoN ). L'utilisation de codage distinct (codes CRC distincts dans la première variante et de couples de clés privées/publiques distincts dans la seconde variante) pour les deux voies COM et MON permet d'assurer leur ségrégation. Afin d'améliorer encore la sûreté de fonctionnement du système de commande, il est possible de combiner le codage et la ségrégation spatiale des voies COM et MON comme représenté en Fig. 3. La Fig. 3 illustre un système de commande selon un second mode de réalisation de l'invention. Ce second mode diffère du premier au sens où il utilise un réseau AFDX redondé, autrement dit deux réseaux AFDX de structure identique (on dit également deux couches de réseau AFDX), respectivement notés A et B, reliant le calculateur générique et l'équipement distant. Dans ce cas, chaque module COM du calculateur (resp. de l'équipement distant) possède deux ports distincts, à savoir un port Pcc °A4A (resp. PcEomA) relié au réseau A et un port PcoemB (resp. PEccA4B), relié au réseau B. De même, chaque module MON du calculateur (resp. de l'équipement distant) possède deux ports distincts, un port PrNA(resp. pEmoNA ) relié au réseau A et un port pcMONB (resp. PrNB) relié au réseau B. Ainsi la voie COM A reliant les ports Pc c OMA et p0MA passe par le réseau A alors que la voie COM B reliant les ports Pc c OMB et - -n /-écm-R passe par le réseau B. De même, la voie MON A reliant les ports pcMONA et ro MONA passe ' E par le réseau A alors que la voie MON B reliant les ports Pmc °NB et MONB passe par le réseau B. E On notera encore que les voies COM A et MON A utilisent un chemin commun à travers le réseau A, du commutateur AFDX 240A jusqu'au port PE! . Au sein de l'équipement distant 230, le dispositif de répétition/commutation 235A permet de séparer les voies COM A et MON A. De manière similaire, les deux voies COM B et MON B utilisent un chemin commun à travers le réseau B, du commutateur AFDX 240B jusqu'au port PEB. Au sein de l'équipement distant 230, le dispositif de répétition/commutation 235B permet de séparer les voies COM B et MON B. Dans ce mode de réalisation, les applications sont configurées pour sélectionner en priorité des chemins ségrégués. Par exemple, le module COM de l'équipement choisira en priorité les trames ayant transité par le chemin direct (c'est-à-dire par le commutateur 240A, le micro-commutateur 250A et le dispositif de répétition/commutation 235A). En cas de défaillance ou d'erreurs sur ces trames, l'équipement choisira les trames ayant transité par le chemin indirect (c'est-à-dire par le commutateur 240B, le micro-commutateur 250B et le dispositif de répétition/commutation 235B).

Ainsi, on comprend que si l'un des deux réseaux A et B est défaillant, un couple de voies MON et COM restera opérationnel. Les applications 271,272 et 281,282 (non représentées ici) utilisent le même système de codage que dans le premier mode de réalisation, aux fins de vérification de l'intégrité.

Dans le second mode de réalisation, les modules COM et MON de l'équipement E distant sont chacun pourvus de deux ports distincts. Les ports PcOMA Pc°A4B du module E COM sont respectivement reliés aux dispositifs de répétition/commutation 235A et 235B. Les ports PrA, PEneNB du module MON sont respectivement reliés aux dispositifs de répétition/commutation 235A et 2358, comme représenté en Fig. 4A. Alternativement, chacun des modules COM et MON peut être équipé d'un seul port seulement, la séparation des voies A et B étant alors réalisée au niveau applicatif. Cette variante est illustrée schématiquement en Fig. 4B pour les modules COM et MON de l'équipement distant. Le port PcomE du module COM est relié aux dispositifs de répétition/commutation 235A et 235B. Le port PrN du module MON est également relié à ces deux modules. L'application 281 effectue la séparation entre les paquets issus de la voie COM A et les paquets issus de la voie COM B. En d'autres termes, l'application 281 (voire une couche protocolaire inférieure) possède un premier port logique recevant les paquets de la voie COM A et un second port logique recevant les paquets de la voie COM B. De manière similaire, l'application 282 (voire une couche protocolaire inférieure) possède un premier port logique recevant les paquets de la voie MON A et un second port logique recevant les paquets de la voie MON B. La discrimination entre les paquets des voies COM A et COM B, ou entre les paquets des voies MON A et MON B, peut se faire à l'aide d'un simple bit dans l'entête du paquet.

La Fig. 5 illustre un système de commande d'un aéronef selon un troisième mode de réalisation de l'invention. Ce troisième mode de réalisation diffère du second au sens où l'équipement distant et le calculateur possèdent chacun deux modules COM au lieu d'un module COM et d'un module MON. Cet équipement à deux modules COM permet de doubler les chaines d'entrées-sorties analogiques afin d'assurer une haute disponibilité des ces dernières. Plus précisément, le premier module COM, 211, du calculateur présente un premier port Pcccm'Arelié au commutateur 240A de la couche A et un second port Pc comIB relié au commutateur 240B de la couche B du réseau. De même, le second module COM, 212, du calculateur présente un premier port Pcc °A42A relié au commutateur 240A du réseau A et second port Pcc cm2B relié au commutateur 240B du réseau B. L'équipement distant présente un premier module COM, 231, relié au premier module COM du calculateur via les couches A et B, et un second module COM, 232, relié au second module COM du calculateur au moyen des couches A et B. Le dispositif de réplication/commutation de trames 235A est connecté, d'une part, au port commun pi.4 de l'équipement et, d'autre part, aux ports P EcomiA pC0M2 A et E des modules respectifs 231 et 232. De même, Le dispositif de réplication/commutation de trames 235B est connecté, d'une part, au port commun P de l'équipement et, d'autre part, aux ports Pr" et Pr'42B des modules respectifs 231 et 232. Les différentes variantes des dispositifs de réplication/commutation décrites plus haut sont également applicables ici. Ce troisième mode de réalisation est adapté aux systèmes de commande ne nécessitant pas une haute intégrité mais pour lesquels la disponibilité est critique. On comprend en effet que la perte de l'un seulement des réseaux A et B, éventuellement combinée avec une panne d'entrée ou de sortie analogique sur un des modules COM de l'équipement, n'entraînera pas de perte fonctionnelle.

La Fig. 6 illustre un système de commande d'un aéronef selon un quatrième mode de réalisation de l'invention. Ce mode de réalisation est similaire au précédent mais s'en distingue au sens où il utilise une redondance triplex. On rappelle que, dans un système de commande à redondance triplex, les messages de commande sont transmis à l'équipement destinataire par trois voies distinctes et que, lorsqu'un message est différent des deux autres, en raison par exemple d'une corruption lors de la transmission sur le réseau, l'équipement destinataire prend une décision par un vote à la majorité.

Le réseau AFDX comprend ici trois couches distinctes, de structure identique, désignées par A, B et C, le calculateur 210 et l'équipement distant 230 étant abonnés à chacune des couches du réseau. Plus précisément, le calculateur comporte trois modules distincts 211, 212, 213, effectuant des calculs distincts et transmettant chacun des messages de commande à partir des informations reçues des organes de commande. Les modules 211, 212, 213 sont respectivement reliés aux couches A, B et C du réseau. L'équipement distant possède trois ports communs pEA pEB p EC respectivement connectés aux couches A, B et C. Il comprend également trois modules distincts 231, 232, 233, chaque module de l'équipement correspondant à un module du calculateur 211, 212, 213 respectivement, un module de l'équipement recevant les trames du module correspondant du calculateur via les trois couches A, B et C du réseau, en parallèle. A cet effet, il est prévu trois dispositifs de réplication et/ou commutation de trames 235A, 235B, 235C. Le dispositif 235A est connecté d'une part au port PEA. de l'équipement et aux ports 231A, 232A et 233A des modules 231, 231 et 233 respectivement. Le dispositif 235B est connecté d'une part au port PEB de l'équipement et aux ports 231B, 232B et 233B de ces modules. Enfin, le dispositif 235C est connecté d'une part au port 4 de l'équipement et aux ports 231C, 232C et 233C de ces mêmes modules.

Le fonctionnement des dispositifs 235A, 235B, 235C est similaire au fonctionnement des dispositifs 235A et 235B du mode de réalisation précédent et leurs différentes variantes (hybride répéteur/commutateur, répéteur, commutateur) sont encore applicables ici. L'homme du métier comprendra en outre que ce quatrième mode de réalisation s'étend sans difficulté à un nombre quelconque de modules de calculateur/modules d'équipement et couches de réseau en adaptant l'algorithme de vote à la topologie choisie.

Claims (12)

1. REVENDICATIONS1. Système de commande d'aéronef comprenant un calculateur (210) et un équipement distant (230), le calculateur comprenant un premier et un second modules (211, 212), le premier module du calculateur (211) étant relié à un premier module dudit équipement (231) à travers un réseau AFDX (220) au moyen d'un premier lien virtuel, et le second module du calculateur (212) étant relié à un second module (232) dudit équipement à travers ce même réseau, caractérisé en ce que : - ledit équipement comprend un dispositif de répétition et/ou commutation de trames (235) relié, d'une part à un port commun (PE. ) de l'équipement connecté au co réseau AFDX, et, d'autre part, à un port (Pm E ) du premier module de l'équipement et un port (PrN ) du second module de l'équipement - lesdits premier et second liens virtuels partagent un chemin commun à travers le réseau AFDX, chaque trame transmise sur le premier ou le second lien virtuel étant obtenue par codage à un niveau de protocole supérieur à celui de la couche liaison, le codage étant distinct pour lesdits premier et second liens virtuels.
2. 2. Système de commande d'aéronef selon la revendication 1, caractérisé en ce que le dispositif de répétition et/ou commutation de trames est un dispositif hybride de répétition et de commutation de trames, toute trame transmise par le calculateur à l'équipement distant, arrivant sur le port commun, étant répliquée par ledit dispositif pour être envoyée sur le port du premier module ou le port du second module, toute trame transmise par l'équipement distant au calculateur, en provenance du premier module ou du second module de l'équipement étant commutée par ledit dispositif vers le port commun.
3. 3. Système de commande d'aéronef selon la revendication 1, caractérisé en ce que le dispositif de répétition et/ou commutation de trames est un commutateur detrames, chaque trame arrivant sur un port du commutateur étant commutée sur un autre port en fonction du lien virtuel auquel elle appartient.
4. 4. Système de commande d'aéronef selon la revendication 1, caractérisé en ce que le dispositif de répétition et/ou commutation de trames est un répéteur de trames, chaque trame arrivant sur un port du répéteur étant répétée sur tous ses autres ports.
5. 5. Système de commande d'aéronef selon l'une des revendications précédentes, caractérisé en ce que : - une première application émettrice hébergée par le premier module du calculateur code préalablement les paquets qu'elle émet à l'aide d'un premier code CRC au niveau applicatif, les paquets ainsi codés étant transmis sous forme de trames sur le premier lien virtuel, une première application destinatrice hébergée par le premier module de l'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide dudit premier code CRC; - une seconde application émettrice hébergée par le second module du calculateur code préalablement les paquets qu'elle émet à l'aide d'un second code CRC au niveau applicatif, distinct du premier, les paquets ainsi codés étant transmis sous forme de trames sur le second lien virtuel, une seconde application destinatrice hébergée par le second module de l'équipement vérifiant l'intégrité de chaque paquet reçu à l'aide dudit second code CRC.
6. 6. Système de commande d'aéronef selon l'une des revendications 1 à 5, caractérisé en ce que : - une première application émettrice hébergée par le premier module du calculateur signe numériquement préalablement les paquets qu'elle émet à l'aide d'un système à clé publique utilisant une première fonction de hachage et une première clé publique, les paquets ainsi signés étant transmis sous forme de trames sur le premier lien virtuel, une première application destinatrice hébergée par le premier module del'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide d'une première clé privée correspondant à la première clé publique ; - une seconde application émettrice hébergée par le second module du calculateur signe numériquement préalablement les paquets qu'elle émet à l'aide d'un système à clé publique utilisant une seconde fonction de hachage et une seconde clé publique, distincte de la première, les paquets ainsi signés étant transmis sous forme de trames sur le second lien virtuel, une seconde application destinatrice hébergée par le second module de l'équipement vérifiant l'intégrité de chaque paquet ainsi reçu à l'aide d'une seconde clé privée correspondant à la seconde clé publique.
7. 7. Système de commande d'aéronef selon la revendication 1, caractérisé en ce que le réseau AFDX présente une première couche, A, et une seconde couche, B, de structure identique, et que : - les premier et second modules du calculateur possèdent chacun un premier port relié à la couche A et un second port relié à la couche B; - les premier et second modules de l'équipement possèdent chacun un premier port relié à la couche A et un second port relié à la couche B; - l'équipement possède un premier port commun relié à la couche A et un second port commun relié à la couche B, l'équipement comprenant en outre un premier dispositif de réplication et/ou commutation de trames, relié, d'une part, au premier port commun de l'équipement et, d'autre part, aux premiers ports des premier et second modules de l'équipement, ainsi qu'un second dispositif de réplication et/ou commutation de trames, relié d'une part, au second port commun de l'équipement et, d'autre part, aux seconds ports des premier et second modules de l'équipement.
8. 8. Système de commande d'aéronef selon la revendication 1, caractérisé en ce que le réseau AFDX présente une première couche, A, et une seconde couche, B, de structure identique, et que : - les premier et second modules du calculateur possèdent chacun un premier port relié à la couche A et un second port relié à la couche B;- l'équipement possède un premier port commun relié à la couche A et un second port commun relié à la couche B, l'équipement comprenant en outre un premier dispositif de réplication et/ou commutation de trames, relié, d'une part, au premier port commun de l'équipement et, d'autre part, aux ports des premier et second modules de l'équipement, ainsi qu'un second dispositif de réplication et/ou commutation de trames, relié d'une part, au second port commun de l'équipement et, d'autre part, aux ports des premier et second modules de l'équipement ; - les trames incidentes sur le port d'un module de l'équipement étant sélectivement reçues par un premier et un second ports logiques selon qu'elles ont été transmises par la couche A ou la couche B.
9. 9. Système de commande d'aéronef selon l'une des revendications précédentes, caractérisé en ce que l'équipement distant est un actionneur de gouvernes, ledit actionneur étant abonné au réseau AFDX.
10. 10. Système de commande d'aéronef selon l'une des revendications précédentes, caractérisé en ce que les premiers modules du calculateur et de l'équipement sont des modules de commande, et que les seconds modules du calculateur et de l'équipement sont des modules de surveillance.
11. 11. Système de commande d'aéronef selon l'une des revendications 1 à 9, caractérisé en ce que les premier et second modules du calculateur sont des modules de commande de structure identique et que les premier et second modules de l'équipement sont également des modules de commande de structure identique.
12. 12. Aéronef, caractérisé en ce qu'il comprend un système de commande d'aéronef selon l'une des revendications précédentes.