TITRE : Système d’affichage d’informations critiques et non- critiques

DOMAINE TECHNIQUE DE L’INVENTION

[0001] Le domaine technique de l’invention est celui du contrôle d’intégrité de génération d’images, plus particulièrement pour un module d’affichage critique, par exemple dans les cockpits « tout écran » aussi appelés « Glass Cockpit » selon la dénomination anglo-saxonne.

[0002] La présente invention concerne un système d’affichage d’informations critiques et non-critiques et en particulier d’images comprenant de telles informations pour leur affichage dans un cockpit d’aéronef.

ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION

[0003] Afin d’améliorer les cockpits d’appareils volants, tels que ceux des hélicoptères, avions, UAV (« unmanned aircraft vehicle » pour « véhicule aérien sans pilote »), il est envisagé de remplacer les équipements discrets par des écrans pour afficher certains paramètres de navigation, comme l’altitude, la vitesse, etc. Cette évolution se retrouve couramment sous le nom de « Glass Cockpit », pour « cockpit tout écran ».

[0004] Les calculateurs utilisés pour générer l’image des « Glass Cockpit » doivent assurer un très haut niveau d’intégrité, afin de ne pas compromettre la mission. Les écrans sont donc reliés à des unités de calculs, tels que des processeurs centraux « CPU » (« Central Processing Unit »), des processeurs graphiques « GPU » (« Graphical Processing Unit ») ou des « FPGA » (« Field Programmable Gate Array ») qui sont chargés de récupérer les informations à afficher et de les transformer en éléments graphiques en garantissant l’intégrité des éléments affichés.

[0005] Pour cela, une couche critique avec une composante de transparence comprend les informations numériques, symboliques, affichées en surimpression dans le « Primary Flight Display » (pour « Affichage Primaire de Vol »), en sus d’une image de fond, constituée d’informations chromatiques de couleur, par exemple en système Rouge Vert Bleu aussi appelée couche « R G B », ou en systèmes luminance/chrominance par exemple YUV, YCrCb ou encore YIQ. [0006] L’intégrité des informations contenues dans la couche critique avec une composante de transparence est critique pour la mission. L’information critique apparait au-dessus d’autres informations graphiques de l’image et une couche alpha permet de faire un masque pour l’image qui se trouve dessous par simulation de transparence, ou « Alpha blending ». La technique la plus répandue pour assurer cette intégrité est la suivante : les données sont recopiées en dehors de l’écran par un dispositif appelé COM pour « command » (« commande » en français), afin d’être analysées par un dispositif appelé MON pour « monitoring >> (« surveillance » en français). Les dispositifs COM/MON sont classiquement des calculateurs. Ces calculateurs graphiques sont encombrants, lourds et consomment de l’énergie. Ils sont aussi dits « non-optimisés SWAP >> (pour « size, weight, and power >>).

[0007] Des projets, et notamment une solution proposée précédemment par le demandeur, ont pour but de centraliser le calculateur de vol s’interfaçant à l’ensemble des équipements de l’aéronef et la génération graphique du « Glass Cockpit ». Cela permet d’y connecter directement un affichage passif (« dumb display » en anglais) et non un calculateur graphique. Dans de tels projets, les unités de calcul (CPU/GPU/FPGA) sont réduites au minimum tout en garantissant le plus haut niveau d’intégrité des données affichées dans le calculateur principal.

[0008] Plutôt que d’utiliser un couple processeur central CPU et calculateur graphique GPU pour la génération d’image, surveillé par un deuxième calculateur graphique GPU ou par un autre couple CPU et GPU pour vérifier que l’image produite est conforme à l’image attendue (une technique habituelle présente dans les calculateurs graphiques GPU), la puissance des processeurs centraux CPU modernes est utilisée afin de générer les paramètres de navigation critiques, avec l’aide de FPGA(s).

[0009] Les processeurs centraux « CPU » peuvent alors : soit émuler le fonctionnement d’un processeur graphique « GPU », soit utiliser des images précalculées, aussi appelées « sprites », une technique utilisée quand les processeurs graphiques « GPU » n’existaient pas, soit s’appuyer sur des accélérateurs vidéo en FPGA. [0010] Les portions d’images résultantes, dont l’arrière-plan est transparent, sont par exemple assemblées par le FPGA, avant émission du flux vidéo vers les écrans passifs.

[0011] Le contrôle d’intégrité de la génération vidéo peut être fait à plusieurs niveaux :

Soit en superposant les portions d’images d’un processeur central CPU de génération (COM) et d’un processeur central CPU de surveillance (MON) avant assemblage dans le FPGA. Le fond transparent sert alors de masque. Seuls les pixels illuminés sont autorisés à être affichés.

Soit, après assemblage de l’image complète par le processeur central CPU de génération (COM), une extraction de pixels selon le masque généré par le processeur central CPU de surveillance (MON) doit aboutir à ce même masque.

[0012] De plus, ces images étant générées sur fond transparent, le FPGA peut les ajouter en surimpression (« overlay » en anglais) sur un flux vidéo rentrant en arrière- plan si nécessaire.

[0013] Cette architecture peut utiliser des FPGAs déjà présents dans les calculateurs de vol, diminuant ainsi la taille, le poids et la consommation du système complet.

[0014] Un exemple de solution de l’art antérieur est représenté à la Figure 1. Un processeur de génération COM 110 est connecté à un processeur de surveillance MON 120. Le processeur de génération COM 110 génère un signal image qui est transmis à un écran passif via la sortie 104.1 et la sortie 103. La sortie 104.1 est aussi reliée à l’entrée 105.1 du processeur de surveillance MON 120, ce afin de transmettre le signal image du processeur de génération COM 110 au processeur de surveillance MON 120. Un module 112, par exemple logiciel, permet de générer une couche critique avec une composante de transparence à partir d’informations critiques obtenues par le module 111. Cette couche critique est transmise au module de fusion 115 et au processeur de surveillance 120. Le processeur de surveillance MON 120 applique alors la couche critique reçue comme un masque au signal image reçu par l’entrée 105.1 pour obtenir un signal résultat. Le module 122 vérifie à partir du signal résultat que la couche critique reçue par l’entrée 105.2 se retrouve bien dans le signal image reçu sur l’entrée 105.1 . Le signal résultat doit correspondre à la couche critique reçue par l’entrée 105.2, les autres informations étant masquées. Cela n’est qu’un mode de réalisation de la solution, et représente l’option 1 mentionnée ci-après.

[0015] La solution proposée par le demandeur précédemment comprend notamment trois options de réalisation :

Option 1 : la couche critique est calculée de manière unique par le processeur de génération COM 110 puis transmise au processeur de surveillance MON 120, et il est vérifié par le processeur de surveillance MON 120 qu’elle est bien restituée à l’affichage en l’utilisant comme masque au module 121 sur le signal image reçu du processeur de génération COM 110,

Option 2 : l’information critique numérique est calculée de manière unique par le processeur de génération COM 110 puis transmise au processeur de surveillance MON 120, et il est vérifié par le processeur de surveillance MON 120 qu’elle est bien restituée à l’affichage en générant une couche critique (non représenté) à partir de cette information critique et en l’utilisant comme masque au module 121 sur le signal image reçu du processeur de génération COM 110,

Option 3 : la chaîne complète est mise en œuvre par le processeur de génération COM et par le processeur de surveillance MON, y compris le calcul des informations numériques.

[0016] L’option 1 est la plus légère en termes de calculs, mais ne permet d’identifier que les erreurs de fusion des couches critique et colorimétrique.

[0017] L’option 2 couvre les erreurs de génération de la couche critique en plus de l’option 1 , mais ne permet pas d’identifier d’erreur liée au calcul d’informations critiques.

[0018] L’option 3 couvre la totalité de la chaine de traitement, c’est-à-dire qu’elle permet d’identifier les erreurs de fusion des couches critique et RGB, les erreurs de génération de la couche critique , et les erreurs liées au calcul d’informations critiques. Cette solution est en revanche plus gourmande en ressources FPGA ou en ressources logicielles sur le processeur de surveillance MON. [0019] De plus, dans toutes les options, l’utilisation de la couche critique comme masque impose la génération de ce masque, ce qui est un travail lourd et gourmand en ressources. En outre, la vérification du signal résultat obtenu après l’utilisation du masque impose une comparaison pixel par pixel du signal résultat obtenu au signal image reçu par le processeur de surveillance MON 120, ce qui nécessite d’identifier les pixels à comparer, et d’utiliser beaucoup de ressources matérielles et/ou un temps de traitement long.

[0020] Il existe donc un besoin de pouvoir assurer l’intégrité de données générées par au moins deux processeurs centraux CPU, utilisant moins de ressources que l’art antérieur tout en permettant de détecter notamment les erreurs de fusion des couches critique et colorimétrique, les erreurs de génération de la couche critique, et les erreurs liées au calcul d’informations critiques.

RESUME DE L’INVENTION

[0021] L’invention offre une solution aux problèmes évoqués précédemment, en permettant un haut niveau d’intégrité des données affichées par un écran, ce haut niveau d’intégrité étant obtenu par une consommation de ressources matérielles et un temps moindre que dans l’art antérieur, et sans avoir besoin d'échanges d’information complémentaire entre les deux processeurs COM et MON.

[0022] Un aspect de l’invention concerne ainsi un système d’affichage d’informations critiques et non critiques sur un écran, le système comprenant au moins un circuit électronique de commande et un circuit électronique de surveillance, le circuit électronique de commande étant configuré pour : traiter les informations critiques à afficher, construire au moins une image à partir des informations non critiques et y incorporer les informations critiques à afficher afin de former, sur une première sortie du circuit électronique de commande, un signal image destiné à être transmis à l’écran, l’image construite par le circuit électronique de commande comprenant une pluralité de pixels, chaque pixel restituant au moins une partie d’information critique ou non critique ; dans lequel le circuit électronique de commande a au moins une entrée reliée à une source de données, les informations critiques à afficher étant obtenues à partir de la source de données, le circuit électronique de surveillance ayant une entrée reliée à ladite première sortie et étant configuré pour déterminer des informations critiques attendues pour l’affichage et vérifier si le signal image contient des informations critiques reçues correspondant aux informations critiques attendues, le circuit électronique de commande étant configuré pour transmettre au circuit électronique de surveillance au moins un indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, pour vérifier si le signal image contient des informations correspondant aux informations critiques attendues, le circuit électronique de surveillance est configuré pour : extraire de l’image construite les informations critiques reçues à partir de l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite, comparer un premier résultat d’une fonction de hachage appliquée aux informations critiques attendues et un deuxième résultat de la fonction de hachage appliquée aux informations critiques reçues, dans lequel le circuit électronique de commande incorpore les informations critiques à afficher dans une première couche de détail critique fusionnée avec au moins une couche de détail d’arrière-plan pour former l’image à afficher, dans lequel le circuit électronique de surveillance est configuré pour obtenir les informations critiques attendues à partir de la source de données ou pour les recevoir du circuit électronique de commande, et pour élaborer une deuxième couche de détail critique dans laquelle les informations critiques attendues obtenues ou reçues sont incorporées, la fonction de hachage étant appliquée par le circuit électronique de surveillance à la deuxième couche de détail critique pour obtenir le premier résultat de hachage.

[0023] Grâce à l’invention, il est possible de vérifier, par un circuit électronique de surveillance, l’intégrité d’images générées par un circuit électronique de commande, plus rapidement que dans l’art antérieur et plus simplement. En effet, l’invention utilise une fonction de hachage pour comparer les données critiques reçues aux données critiques attendues, et ne nécessite donc pas de comparer les pixels un à un, ni de synchroniser les signaux, ni de prévoir la mémoire pour une resynchronisation, à l’exception de devoir repérer au moins le numéro de l’image pour comparer les images entre elles. Utiliser une fonction de hachage permet ainsi de comparer les données critiques reçues aux données critiques attendues plus rapidement et en consommant moins de ressources matérielles que dans l’art antérieur.

[0024] En outre, l’invention comprend un indicateur d’état critique ou non critique de chaque pixel de l’image générée, transmis par le circuit électronique de commande au circuit électronique de surveillance, permettant au circuit électronique de surveillance d’extraire les informations critiques de l’image reçue plus rapidement et en consommant moins de ressources matérielles que dans l’art antérieur.

[0025] L’invention trouve une application particulièrement pertinente dans les systèmes aéronautiques, pour répondre au besoin d’affichage d’informations critiques au milieu d’informations non critiques et inconnues et/ou aléatoires, le tout sur un seul flux vidéo, afin de pouvoir garantir l’intégrité de la partie du flux vidéo critique.

[0026] Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le système selon un aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles : le circuit électronique de commande est configuré pour transmettre l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite en incorporant dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel par stéganographie et en transmettant l’image construite au circuit électronique de surveillance via la sortie du circuit électronique de commande. le circuit électronique de commande incorpore dans l’image construite, pour chaque pixel de l’image, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par le pixel en donnant une valeur prédéterminée à au moins un bit du pixel d’une couche de colorimétrie de l’image construite, le bit étant choisi parmi : un bit de poids faible, un bit de parité, un bit de signe. la fonction de hachage est choisie parmi : SHA-1 , MD5 ou une fonction de contrôle de redondance cyclique CRC. le circuit électronique de surveillance est en outre configuré pour recevoir, du circuit électronique de commande, l’image à afficher, pour extraire de l’image à afficher la première couche de détail, et pour appliquer la fonction de hachage à la première couche de détail critique extraite pour obtenir le deuxième résultat de hachage. les informations critiques attendues sont reçues par le circuit électronique de surveillance depuis le circuit électronique de commande. circuit électronique de surveillance a une entrée reliée à ladite source de données, le circuit électronique de surveillance étant configuré pour recevoir les informations critiques de la source de données et pour traiter les informations critiques reçues pour obtenir les informations critiques attendues.

[0027] Un autre aspect de l’invention porte sur un aéronef comprenant le système d’affichage selon l’invention.

[0028] L’invention est particulièrement intéressante pour tout système dont le besoin porte sur un haut niveau d’intégrité d’affichage ayant des ressources limitées.

[0029] L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent.

BREVE DESCRIPTION DES FIGURES

[0030] Les figures sont présentées à titre indicatif et nullement limitatif de l’invention.

La figure 1 montre une représentation schématique d’un système d’affichage de l’art antérieur,

La figure 2 montre une représentation schématique partielle de dessus d’un aéronef comprenant un système d’affichage selon l’invention, La figure 3 montre une représentation schématique d’un premier mode de réalisation d’un système d’affichage selon l’invention,

La figure 4 montre une représentation schématique d’un deuxième mode de réalisation d’un système d’affichage selon l’invention,

La figure 5 montre une représentation schématique d’un troisième mode de réalisation d’un système d’affichage selon l’invention.

DESCRIPTION DETAILLEE

[0031] Sauf précision contraire, un même élément apparaissant sur des figures différentes présente une référence unique.

[0032] La figure 2 montre une représentation schématique partielle de dessus d’un aéronef comprenant un système d’affichage selon l’invention.

[0033] En référence à la figure 2, l’aéronef comporte un fuselage 1 dans lequel est aménagé un cockpit 2.

[0034] L’aéronef est pourvu d’équipements fournissant des informations au pilote pour lui permettre de piloter l’aéronef et de l’amener sans encombre de son point de départ à son point d’arrivée. Parmi ces informations, se trouvent : des informations critiques permettant notamment au pilote de faire décoller et atterrir l’aéronef, et de le maintenir en vol ; et des informations non critiques permettant par exemple au pilote de visualiser son environnement.

[0035] Ainsi, de manière connue en elle-même, l’aéronef est pourvu d’un ensemble de capteurs extérieurs 3 comprenant par exemple : un baro-altimètre 3 qui fournit, en association avec un capteur de température extérieure, une mesure d’altitude à partir de la pression atmosphérique environnant l’aéronef ; des sondes Pitot pour mesurer la vitesse air de l’aéronef.

[0036] L’altitude et la vitesse air de l’aéronef font par exemple partie des informations critiques à afficher.

[0037] L’aéronef embarque également une centrale électronique de navigation 4 reliée, d’une part, à une centrale inertielle 5 comportant par exemple des capteurs inertiels linéaires (accéléromètres) et des capteurs inertiels angulaires (gyroscopes ou gyromètres) pour fournir des données inertielles de positionnement (attitude, position et vitesse) et, d’autre part, à un récepteur 6 de signaux satellitaires agencé pour fournir des données satellitaires de positionnement de l’aéronef (pseudo-distances) à partir des signaux provenant d’une constellation de satellites appartenant à un système de positionnement par satellites (ou GNSS ; comme les systèmes GPS, GALILEO, GLONASS, BEIDOU...). La centrale électronique de navigation 4, connue en elle- même, peut par exemple déterminer par hybridation des données inertielles et satellitaires de positionnement, une vitesse de l’aéronef ainsi qu’une position de l’aéronef reportée sur une carte de la zone survolée. L’attitude, fournie par la centrale inertielle 5, fait partie des informations critiques à afficher dans l’exemple de la Figure 2.

[0038] Une caméra frontale 7 est montée à l’avant du fuselage 1 pour fournir, sous la forme d’un flux vidéo, des images de l’environnement à l’avant de l’aéronef. Ces images font partie des informations non critiques à afficher dans l’exemple de la Figure 2.

[0039] Une caméra arrière 8 est montée à l’arrière du fuselage 1 pour fournir, sous la forme d’un flux vidéo, des images de l’environnement à l’arrière de l’aéronef. Ces images font partie des informations non critiques à afficher dans l’exemple de la Figure 2.

[0040] Un écran d’affichage 9 relié à un système d’affichage généralement désigné en 100 est monté dans le cockpit 2 pour présenter au pilote les informations critiques et les informations non critiques. Bien entendu, le nombre d’informations à afficher pourrait être différent avec plus ou moins d’informations critiques et/ou plus ou moins d’informations non critiques : il s’agit là d’un exemple pour expliquer simplement l’invention.

[0041] La figure 3 montre une représentation schématique d’un système d’affichage selon un premier mode de réalisation de l’invention.

[0042] Le système d’affichage 100 selon l’invention comprend des connecteurs définissant respectivement au moins une première entrée 102.1 reliée à l’altimètre barométrique 3 pour recevoir l’altitude, une deuxième entrée 102.2 reliée à la centrale électronique de navigation 4 pour recevoir la vitesse, une troisième entrée 102.3 reliée à la caméra frontale 7 pour recevoir un flux vidéo représentant l’environnement avant de l’aéronef, une quatrième entrée 102.4 reliée à la caméra arrière 8 pour recevoir un flux vidéo représentant l’environnement arrière de l’aéronef, et une sortie 103 pour fournir le signal électrique correspondant aux images à afficher. Les connecteurs formant les entrées 102.1 à 102.4 et la sortie 103 permettent le raccordement électrique du système d’affichage 100 aux équipements auxquels il est destiné à être relié. L’invention couvre tout système d’affichage 100 comprenant un autre nombre d’entrées et de sorties. L’invention ne se limite pas aux entrées 102.1 à 102.4 connectées aux sources de données mentionnées précédemment, mais couvre tout nombre d’entrées connectée à toute source de données, par exemple une base de données ou un ou plusieurs capteurs ou dispositifs de captation.

[0043] Le système 100 comprend au moins un circuit électronique de commande 110 (couramment appelé COM) et un circuit électronique de surveillance 120 (couramment appelé MON) relié au circuit électronique de commande 110. Chacun de ces circuits électroniques 110, 120 comprend au moins un processeur et est relié à au moins une mémoire configurée pour stocker des instructions, qui, lorsqu’elles sont exécutées par le processeur, conduisent celui-ci à mettre en œuvre l’invention. Ainsi, on entend par « un circuit est configuré pour réaliser une action » le fait qu’il est relié à une mémoire comprenant des instructions spécifiques à ce circuit, ces instructions permettant, lorsqu’elles sont exécutées par le processeur, au processeur du circuit de réaliser l’action. Dans un mode de réalisation, le circuit électronique de commande 110 et le circuit électronique de surveillance 120 sont compris dans un même boitier 101.

[0044] Les instructions spécifiques au circuit électronique de commande 110 sont agencées pour que le circuit électronique de commande 110 forme une unité de traitement central (couramment appelée CPU) qui traite (prépare et met en forme) des informations critiques à afficher, construise une image à partir des informations non critiques, y incorpore les informations critiques traitées, afin de former, sur une sortie du circuit électronique de commande 110, un signal image destiné à être transmis à l’écran d’affichage 8, et transmette au circuit électronique de surveillance 120 un indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite.

[0045] Les instructions spécifiques au circuit électronique de surveillance 120, lorsqu’elles sont mises en œuvre par celui-ci, conduisent le circuit électronique de surveillance 120 à déterminer des informations critiques attendues pour l’affichage, extraire de l’image construite les informations critiques reçues à partir de l’indicateur reçu, mettre en œuvre une fonction de hachage sur les informations critiques attendues et sur les informations critiques reçues extraites et comparer les résultats de la fonction de hachage appliquée aux informations critiques reçues extraites et aux informations critiques attendues.

[0046] Les différentes fonctions et tâches assurées par le circuit électronique de commande 110 et par le circuit électronique de surveillance 120 vont maintenant être décrites, en relation aux figures 3 à 5, dans trois modes de réalisation.

[0047] Le circuit électronique de commande 110 assure les mêmes fonctions et tâches dans les trois modes de réalisation. Le circuit électronique de commande 110 reçoit des informations critiques, depuis par exemple les entrées 102.1 , 102.2. Le programme exécuté par le circuit électronique de commande 110 comprend une partie de programme 111 agencée pour regrouper les informations critiques et les mettre sous la forme sous laquelle elles seront affichées pour obtenir ainsi les informations critiques à afficher.

[0048] Une partie de programme 211 exécutée par le circuit électronique de commande 110 incorpore ensuite les informations critiques à afficher dans une couche de détail (communément appelée « layer >>) dite critique. Cette couche de détail critique comprend chaque pixel d’information critique à afficher sur l’écran 9. En outre, la partie de programme 211 exécutée par le circuit électronique de commande 110 incorpore, pour chaque pixel d’information critique, un indicateur que l’information restituée par le pixel est une information critique. Cet indicateur est incorporé dans la couche de détail critique en donnant une valeur prédéterminée à un bit de chaque pixel d’information critique de la couche de détail critique. En effet, chaque pixel de la couche de détail critique est codé en bit ou en octets. Par exemple, le bit de poids faible (« LSB » pour « Least Significant Bit » en anglais) de chaque pixel d’information critique de la couche de détail critique peut être passé à une valeur prédéterminée. L’invention utilise préférentiellement le bit de poids le plus faible pour avoir le moins d’impact sur l’image. La valeur prédéterminée est par exemple « 0 ». L’invention couvre toute incorporation de l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel dans la couche de détail critique. Une telle incorporation est nommée « stéganographie ». Ainsi, une telle incorporation peut être réalisée, selon l’invention, dans la valeur du bit de poids faible, dans la valeur du bit de parité, dans la valeur du bit de signe ou sur tout autre composant de la couche de détail critique. Une telle incorporation peut aussi être dans un bit de chaque couleur de la couche de colorimétrie, ou un code de 3 bit réparti sur chaque composante de couleur RGB, ou de luminance-chrominance (YCrCb), ou toute combinaison possible. Il est aussi possible d’incorporer l’information dans plusieurs bits par couleur, ou seulement sur la chrominance. L’implémentation dépend principalement du type d’image à restituer.

[0049] Le circuit électronique de commande 110 reçoit le flux vidéo de la caméra frontale 7 par l’entrée 102.3 et le flux vidéo de la caméra arrière 8 par l’entrée 102.4. Le circuit électronique de commande 110 peut recevoir un ou plusieurs autres flux vidéo par au moins une des entrées 102.3 et 102.4. Le programme exécuté par le circuit électronique de commande 110 comprend des parties de programmes 212, 213 agencées pour afficher les deux flux vidéo dans deux fenêtres d’une couche de détail d’arrière-plan de l’image (appelée classiquement couche de colorimétrie). En outre, les parties de programme 212 exécutées par le circuit électronique de commande 110 peuvent être configurées pour incorporer, pour chaque pixel des deux flux vidéo, un indicateur que l’information restituée par le pixel est une information non critique. Cet indicateur est alors incorporé dans la couche de colorimétrie de chaque flux en donnant une valeur prédéterminée non critique à un bit de chaque pixel d’information non critique de la couche de colorimétrie. En effet, chaque pixel de la couche de colorimétrie de chaque flux est codé en bit ou en octets. Par exemple, le bit de poids faible (« LSB » pour « Least Significant Bit » en anglais) de chaque pixel d’information non critique de la couche de colorimétrie de chaque flux peut être passé à une valeur prédéterminée non critique. L’invention utilise préférentiellement le bit de poids le plus faible pour avoir le moins d’impact sur l’image. La valeur prédéterminée non critique est par exemple « 1 ». L’invention couvre toute incorporation de l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel dans la couche de colorimétrie. Ainsi, une telle incorporation peut être réalisée, selon l’invention, dans la valeur du bit de poids faible, dans la valeur du bit de parité, dans la valeur du bit de signe ou sur tout autre composant de la couche de colorimétrie. Une telle incorporation peut aussi être dans un bit de chaque couleur de la couche de colorimétrie, ou un code de 3 bits répartis sur chaque composante de couleur RGB, ou de luminance-chrominance (YCrCb), ou toute combinaison possible. Il est aussi possible d’incorporer l’information dans plusieurs bits par couleur, ou seulement sur la chrominance. L’implémentation dépend principalement du type d’image à restituer.

[0050] Dans une variante, l’indicateur d’un état critique ou d’un état non critique de l’information restituée pour chaque pixel des flux vidéo peut être compris dans une couche de détail critique dédiée comprenant, pour chaque pixel, une valeur prédéterminée indiquant un état critique ou une valeur prédéterminée indiquant un état non critique.

[0051 ] Une partie de programme 115 fusionne ensuite la couche de détail d’arrière- plan avec la couche de détail critique de telle manière que cette dernière apparaisse en surimpression sur la couche de détail d’arrière-plan afin d’obtenir une image résultante. Ainsi, l’indicateur de chaque pixel de l’image résultante prend une valeur prédéterminée en fonction de l’état critique ou non critique de l’information représentée par le pixel. L’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel est ainsi incorporé dans l’image finale, et en particulier dans la couche de colorimétrie de l’image finale, par stéganographie. Par exemple, pour chaque pixel de l’image résultante, le bit de poids faible prend la valeur « 0 » lorsque l’information représentée par le pixel est critique et la valeur « 1 » lorsque l’information représentée par le pixel est non critique. Le circuit électronique de commande 110 fournit un signal image (plus précisément un flux vidéo) par une sortie 104.1 reliée à la sortie 103 à laquelle l’écran 9 est connectée. Dans une variante, la couche de détail d’arrière-plan de l’image résultante du signal image est générée aléatoirement, par exemple en affichant une couleur unie, par exemple du noir.

[0052] En pratique, le circuit électronique de commande 110 peut être programmé pour émuler le fonctionnement d’un processeur de traitement graphique (couramment nommé GPU). Le programme d’émulation prend alors en charge la réalisation des couches de détails, l’incorporation de l’indicateur dans les couches de détails, et leur fusion. De tels programmes d’émulation sont présentement disponibles sur le marché et peuvent être configurés et utilisés pour réaliser l’invention.

[0053] Le circuit électronique de commande 110 peut alternativement être programmé pour utiliser des images pré-calculées. [0054] En variante, le circuit électronique de commande 110 peut comprendre au moins un circuit FPGA formant un accélérateur vidéo agencé pour fusionner les couches de détails entre elles. Le circuit FPGA est alors de préférence programmé pour assurer au moins une partie des fonctions de traitement traditionnellement assurées par un GPU. Les calculateurs de vol des aéronefs contiennent des circuits FPGA qui peuvent être utilisés à cette fin.

[0055] Dans les trois modes de réalisation également, la sortie 104.1 du circuit électronique de commande 110 est reliée à une entrée 105.1 du circuit électronique de surveillance 120 permettant au circuit électronique de commande 110 de transmettre le signal image au circuit électronique de surveillance 120.

[0056] Selon le premier mode de réalisation illustré sur la figure 3, le circuit électronique de commande 110 comprend une sortie 104.2 reliée à une entrée 105.2 du circuit électronique de surveillance 120 permettant au circuit électronique de commande 110 de transmettre la couche de détail critique au circuit électronique de surveillance 120. La couche de détail critique comprend les informations critiques considérées comme attendues par l’unité électronique de surveillance 120. Cette liaison comprenant l’entrée 105.2 et la sortie 104.2 est une liaison haut débit car la couche de détail critique peut comporter des informations critiques par pixel sous la forme d’image.

[0057] Le circuit électronique de surveillance 120 exécute un programme dont une partie Hash2 est agencée pour appliquer une fonction de hachage à la couche de détail critique comprenant les informations critiques, considérées comme attendues car reçues directement du circuit électronique de commande 110. La fonction de hachage utilisée sur la couche de détail critique permet d’obtenir un premier résultat de hachage. Dans une variante, la fonction de hachage est appliquée plusieurs fois à plusieurs parties de la couche de détail critique, afin d’obtenir une pluralité de premiers résultats de hachage qui seront comparés par la suite à une pluralité de deuxièmes résultats de hachage.

[0058] La fonction de hachage utilisée à la partie de programme Hash2 est une fonction choisie parmi : un contrôle de redondance cyclique, une fonction MD5, une fonction SHA1 , ou toute autre fonction de hachage permettant de transformer une grande quantité de données en une quantité de données d’une taille plus faible. La fonction de hachage utilisée dans l’invention a préférentiellement une distance de Levenshtein élevée lorsqu’utilisée sur des données de même longueur, c’est-à-dire que deux résultats de hachage de deux données différentes de même longueur doivent être suffisamment différentes.

[0059] Une partie de programme 221 exécutée par le circuit électronique de surveillance 120 est agencée pour extraire la couche de détail critique de l’image construite c’est-à-dire pour extraire les pixels de données critiques de l’image construite reçue. Cela est réalisé en utilisant l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite reçue. Comme indiqué précédemment, cet indicateur est par exemple une valeur du bit de poids faible de chaque pixel de la couche de colorimétrie de l’image construite reçue. Comme indiqué précédemment, l’invention ne se limite pas à cette façon de transmettre l’indicateur au circuit électronique de surveillance 120. La couche de détail critique extraite comprend les informations critiques extraites reçues par l’unité électronique de surveillance 120.

[0060] Le circuit électronique de surveillance 120 exécute un programme dont une partie Hashl est agencée pour appliquer une fonction de hachage à la couche de détail critique extraite comprenant les informations critiques extraites car extraites de l’image construite reçue du circuit électronique de commande 110. La fonction de hachage utilisée sur la couche de détail critique est identique à la fonction de hachage utilisée par la partie de programme Hash2 et permet d’obtenir un deuxième résultat de hachage. Dans une variante, et lorsque cela a aussi été mis en œuvre par la partie de programme Hash2, la fonction de hachage est appliquée plusieurs fois à plusieurs parties de la couche de détail critique extraite, afin d’obtenir une pluralité de résultats de hachage qui seront comparés par la suite à la pluralité de premiers résultats de hachage.

[0061] Une partie de programme 222 exécutée par le circuit électronique de surveillance 120 vérifie que le premier résultat de hachage et le deuxième résultat de hachage sont égaux ou que la pluralité de premiers résultats de hachage est égale à la pluralité de deuxièmes résultats de hachage. Dans l’affirmative, les informations critiques sont correctement affichées. Dans la négative, les informations critiques ont été altérées soit lors de la fusion, soit lors du transfert entre l’unité de commande 110 et l’unité de surveillance 120, soit il s’agit d’une défaillance de l’unité de surveillance 120 : l’unité électronique de surveillance 120 émet une alerte informant le pilote qu’il ne peut tenir compte des informations critiques affichées.

[0062] Dans les deuxième et troisième modes de réalisation, représentés schématiquement respectivement aux Figures 4 et 5, le circuit électronique de surveillance 120 est configuré pour élaborer, dans une partie de programme 223, une deuxième couche de détail critique dans laquelle les informations critiques attendues sont incorporées. Pour cela, dans le mode de réalisation de la Figure 4, le circuit électronique de surveillance 120 est configuré pour recevoir les informations critiques attendues du circuit électronique de commande 110 et dans le mode de réalisation de la Figure 5 le circuit électronique de surveillance 120 est configuré pour obtenir les informations critiques attendues à partir de la source de données via les entrées 102.1 à 102.4. Dans ces deux modes de réalisation de l’invention, la fonction de hachage Hash2 est appliquée par le circuit électronique de surveillance 120 à la deuxième couche de détail critique pour obtenir le premier résultat de hachage.

[0063] Selon le deuxième mode de réalisation illustrée sur la figure 4, le circuit électronique de commande 110 comprend une sortie 104.3 reliée à une entrée 105.3 du circuit électronique de surveillance 120 permettant au circuit électronique de commande 110 de transmettre, au circuit électronique de surveillance 120, les informations critiques traitées qui seront considérées comme étant les informations critiques attendues par le circuit électronique de surveillance 120. Cette liaison comprenant l’entrée 105.3 et la sortie 104.3 est préférentiellement une liaison bas débit car seules les informations critiques sont transmises, et ces informations critiques ne sont pas sous la forme d’une image. Cela ne nécessite donc pas de liaison haut débit.

[0064] Le programme exécuté par l’unité électronique de surveillance 120 comprend une partie de programme 223 agencée pour créer la couche de détail critique incorporant les informations critiques traitées reçues par l’entrée 105.2 et la transmettre à la partie de programme Hash2 qui va l’utiliser pour obtenir le premier résultat de hachage. La partie de programme 222 exécutée par le circuit électronique de surveillance 120 vérifie que le premier résultat de hachage et le deuxième résultat de hachage sont égaux. Dans l’affirmative, les informations critiques sont correctement affichées. Dans la négative, les informations critiques ont été altérées, soit lors de la création de la couche de détail critique par l’unité électronique de commande 110, soit lors de la fusion, soit lors du transfert entre l’unité de commande 110 et l’unité de surveillance 120, soit il s’agit d’une défaillance de l’unité de surveillance 120 : l’unité électronique de surveillance 120 émet une alerte informant le pilote qu’il ne peut tenir compte des informations critiques affichées.

[0065] Selon le troisième mode de réalisation illustrée sur la figure 5, le circuit électronique de surveillance 120 est relié aux entrées 102.1 , 102.2 pour recevoir directement les informations critiques.

[0066] Le programme exécuté par l’unité électronique de surveillance 120 comprend une partie de programme 224 agencée pour traiter, comme la partie de programme 111 , les informations critiques à partir de celles reçues directement depuis les entrées 102.1 , 102.2 et obtenir ainsi les informations critiques attendues. Les informations critiques ainsi traitées sont théoriquement identiques à celles produites par le circuit électronique de commande 110 et sont transmises à la partie de programme 223 qui crée la couche de détail critique incorporant les informations critiques traitées par la partie de programme 124. La couche de détail critique créée par la partie de programme 223 est transmise à la partie de programme Hash2 qui l’utilise pour obtenir au moins un premier résultat de hachage. La partie de programme 222 exécutée par le circuit électronique de surveillance 120 vérifie que le premier résultat de hachage et le deuxième résultat de hachage sont égaux. Dans l’affirmative, les informations critiques sont correctement affichées. Dans la négative, les informations critiques ont été altérées, soit lors de l’élaboration par l’unité électronique de commande 110, soit lors de la création de la couche de détail a par l’unité électronique de commande 110 soit lors de la fusion, soit lors du transfert entre l’unité de commande 110 et l’unité de surveillance 120, soit il s’agit d’une défaillance de l’unité de surveillance 120 : l’unité électronique de surveillance 120 émet une alerte informant le pilote qu’il ne peut tenir compte des informations critiques affichées.

[0067] Bien entendu, l’invention n’est pas limitée au mode de réalisation décrit mais englobe toute variante entrant dans le champ de l’invention telle que définie par les revendications. Dans une variante, le calcul Hashl par la fonction de hachage peut être réalisé par le circuit électronique de commande 110. Le résultat de la fonction de hachage est alors transmis du circuit électronique de commande 110 vers le circuit électronique de surveillance 120. Dans une autre variante compatible avec la variante précédente, le module de fusion 115 peut être compris dans un autre circuit électronique non représenté, la fusion des couches critique et d’arrière-plan étant alors réalisée dans un circuit électronique différent de celui qui génère les couches.

[0068] En particulier, le système peut avoir une structure différente de celle décrite et par exemple comprendre plusieurs unités de commande et/ou de surveillance. L’unité de surveillance peut comprendre au moins un voteur (sélectionneur autonome de l’unité de commande fournissant une image avec des informations critiques considérées correctes) ou au moins un relais (piloté par un autre équipement ou un humain).

[0069] Par exemple le circuit électronique de commande 110 et le circuit électronique de surveillance 120 peuvent appartenir à un même circuit électronique. Ils peuvent être formés chacun par un ou plusieurs cœurs d’un même processeur. Les circuits électroniques 110 et 120 peuvent faire partie du même calculateur de vol.

[0070] Dans une variante, l’indicateur d’un état critique ou d’un état non critique de l’information restituée par chaque pixel de l’image construite peut être compris dans une couche dédiée comprenant, pour chaque pixel, une valeur prédéterminée indiquant un état critique ou une valeur prédéterminée indiquant un état non critique. Cette couche est alors fusionnée avec la couche de détail critique et les couches de colorimétrie, et envoyée sous forme d’un signal image via la sortie 104.1.

[0071] Afin de réduire le temps de calcul, une variante comprend une segmentation de l'image sur la zone d’affichage contrôlée en remplacement ou en complément de l’incorporation de l’indicateur dans une couche de l’image.

[0072] En variante, les entrées 102 peuvent être regroupées dans un boîtier séparé (module d’interface) relié par un câble de raccordement électrique au boîtier 101 lorsqu’il contient les circuits de commande 110 et surveillance 120.

[0073] L’invention peut être mise en œuvre en utilisant un ou plusieurs processeurs à un ou plusieurs cœurs et/ou un ou plusieurs circuits FPGA incorporant un ou plusieurs processeurs.

[0074] Les informations critiques et non critiques peuvent être fournies par d’autres moyens que ceux décrits, par exemple un altimètre radio pour l’altitude.

[0075] Les informations critiques peuvent comprendre d’autre informations que celles mentionnées. [0076] Les informations non critiques peuvent comprendre des paramètres de fonctionnement de l’aéronef, des données météorologiques, des images dans le domaine visible ou infrarouge, des données radar...

[0077] Les informations non critiques peuvent en outre comprendre des images de suivi de terrain. L’aéronef comprend alors : une base de données d’altitudes contenant les coordonnées des points d’un maillage du territoire survolé par l’avion et les altitudes associées à chaque point de ce maillage, une base de données photographiques contenant les coordonnées des points de ce même maillage du territoire survolé par l’avion et des photographies aériennes associées à ces points.

[0078] L’invention est applicable à tout type d’aéronef, à voilure fixe ou tournante, piloté ou non, atmosphérique ou spatial... L’invention est également applicable à des véhicules navals ou terrestres.