Remplacer certaines commandes mécaniques par des systèmes entièrement électriques impose d'utiliser un réseau embarqué sécurisé. Au cœur de la problématique : le choix du protocole qui doit répondre aux exigences des applications critiques. La société Créalie fait ici un état des forces et faiblesses des protocoles en lice.

Depuis une dizaine d'années, notamment dans le domaine aéronautique avec l'Airbus A320, sont apparus des systèmes intégrant des commandes dites « by-wire », c'est-à-dire dans lesquelles les commandes mécaniques sont remplacées par des liaisons électriques. Mais, pour l'instant, il s'agit de systèmes de première génération, dotés de moyens de communication plutôt restrictifs en termes de débit, de souplesse d'utilisation (il s'agit uniquement de liaisons point-à-point) voire tout simplement de champ d'application. Cependant, dans de nombreux domaines comme le ferroviaire ou l'automobile, les industriels préparent l'introduction de ce type de systèmes, dits « X-by-Wire », dans leurs futurs produits. L'objectif est d'intégrer de plus en plus d'électronique dans les organes de contrôle-commande du véhicule, afin, d'une part, de réduire les pièces mécaniques (lourdes et relativement coûteuses à produire) et, d'autre part, d'offrir de nouvelles fonctionnalités aux utilisateurs. Par exemple, pour l'automobile les travaux portent à l'heure actuelle sur les systèmes de direction (Steer-by-Wire) et de freinage (Brake-by-Wire). L'introduction de commandes électriques sur ces équipements permettra d'apporter des fonctions de guidage, d'aide à la navigation mais aussi des enrichissements fonctionnels comme l'analyse d'usure des disques.

Un des éléments majeurs de ces projets porte sur l'utilisation de réseaux sécurisés pour la communication et la coordination entre les différents composants du système : calculateurs, capteurs et actionneurs « intelligents ». En effet, les futurs systèmes X-by-Wire seront basés sur l'emploi d'une architecture informatique embarquée de type distribué. Ce ne sera pas un seul CPU qui fera le travail, mais un réseau de microcontrôleurs qui fonctionneront ensemble. Dans ce cadre, le réseau lui-même devient un composant à part entière qu'il importe de sécuriser. Aujourd'hui, plusieurs normes s'affrontent sur le sujet sans que l'on puisse dire laquelle va s'imposer dans les différents domaines visés.

Les exigences de sûreté de fonctionnement auxquelles doivent répondre les systèmes X-by-Wire ont de fortes conséquences sur les protocoles de communication, mais aussi sur la conception de ces applications et sur le type d'architecture physique (bus, étoile, mixte). Les protocoles candidats présentés ici répondent à une partie de ces besoins, notamment par la mise en œuvre du principe de séquencement temporel des transmissions ­ principe parfaitement bien adapté aux applications distribuées temps-réel ­, ainsi que par leur débit et le support de redondance physique du médium et des nœuds.

SafeBus offre un haut niveau d'intégration de mécanismes de sécurité, par la quadri-redondance du médium de communication et l'entière duplication du système : sans aucun compromis, il prend en charge l'intégrité spatiale et temporelle des communications, et le confinement des erreurs.

WorldFip est de conception plus ancienne. Il est donc très mature. S'il ne répond pas exactement aux applications embarquées à fortes contraintes de type automobile, il offre cependant des caractéristiques très intéressantes. En effet, il intègre une couche application et de gestion réseau riche en fonctionnalités. TCN, inspiré de WorldFip, est en cours de développement et de déploiement. Sa particularité est de supporter une topologie réseau variable, exigence directement issue du besoin fonctionnel (configuration des trains à la demande).

Enfin, TTP et FlexRay sont les plus récents. Ils sont conçus pour répondre très précisément aux besoins des systèmes X-by-Wire automobiles. A ce jour, TTP, plus mature que FlexRay, offre des services complémentaires, tels que la gestion de groupe (il est le seul parmi les protocoles étudiés), le mécanisme « master/shadow », et le changement de mode synchronisé. Par contre, il souffre d'imposer une conception très rigide du système, et une évolutivité faible du système. FlexRay, avec un débit plus élevé, permet de mêler des transmissions périodiques et événementielles, avec le même niveau de sécurité, et intègre la gestion de la mise en veille et du réveil du réseau, ce qui est une exigence forte du monde automobile.

L'analyse faite ci-dessus montre toutefois qu'aucun de ces protocoles ne suffit à lui tout seul à répondre aux exigences édictées par la SAE. Il faut que d'autres éléments apportent les compléments pour offrir aux applications X-by-Wire le niveau de fonctionnalité et de sécurité attendu : modules matériels ou logiciels tolérants aux fautes, et méthodologies de conception s'appuyant fortement sur la démarche de sûreté de fonctionnement.