Vers une migration de l’AFDX vers le Time-Sensitive Networking

Résumé#

L’Avionics Full-Duplex Switched Ethernet a rendu possible l’intégration de centaines de fonctions sur un réseau commuté déterministe en imposant une discipline volontairement étroite : Virtual Links unidirectionnels, routes statiques, contrôle de débit par Bandwidth Allocation Gap, taille maximale bornée et duplication sur deux réseaux physiquement séparés. Cette discipline demeure techniquement pertinente. Elle produit des objets de certification compréhensibles et autorise des analyses de délai de bout en bout fondées sur une configuration fermée. Elle devient cependant coûteuse lorsque l’architecture doit agréger des flux de criticités, de périodicités et de volumes très différents, introduire une synchronisation temporelle commune, porter des capteurs à haut débit ou permettre des reconfigurations maîtrisées.

Le Time-Sensitive Networking n’est pas un protocole unique qui remplacerait ARINC 664 Part 7. Il est un ensemble de mécanismes IEEE 802.1 : synchronisation 802.1AS, transmission planifiée Qbv, préemption Qbu et IEEE 802.3br, filtrage et policing Qci, configuration Qcc, régulation asynchrone Qcr et réplication 802.1CB. Depuis novembre 2025, IEEE 802.1DP / SAE AS6675 profile ces mécanismes pour les réseaux Ethernet embarqués aérospatiaux. Ce fait modifie la nature du débat. La transition ne repose plus seulement sur l’adaptation de profils industriels ou automobiles ; elle peut s’appuyer sur un standard conjoint IEEE/SAE qui sélectionne options, paramètres, procédures, sécurité, disponibilité et monitoring pour l’aérospatial [R1][R2].

La thèse défendue est que TSN constitue une évolution naturelle de l’AFDX au niveau des invariants, mais non un remplacement transparent au niveau des preuves. AFDX a établi quatre exigences durables : confinement des sources, allocation préalable des ressources, routes maîtrisées et tolérance à une faute de réseau. TSN généralise chacune d’elles : PSFP rend le confinement granulaire par stream, Qbv et ATS multiplient les disciplines temporelles, Qcc formalise la configuration et FRER permet la réplication et l’élimination à plusieurs points. En contrepartie, le temps global, les Gate Control Lists, l’orchestration et la combinatoire des options créent de nouveaux modes communs de défaillance. Une preuve AFDX fondée sur le seul couple BAG/taille maximale ne se transpose donc pas par simple substitution de débit.

Nous construisons une méthode d’évaluation à cinq contrats : contrat de trafic, contrat temporel, contrat de chemin, contrat de faute et contrat de configuration. La migration est acceptable lorsqu’un flux conserve, sous TSN, une borne de délai, une borne de gigue, une indépendance de fautes et une traçabilité de configuration au moins aussi explicites que sous AFDX. Des équations de sérialisation, d’arrivée, de service, de dérive et de disponibilité sont données. Les exemples quantitatifs utilisent des hypothèses publiées avec chaque calcul ; ils servent à illustrer une méthode, pas à annoncer la performance d’un avion réel.

L’analyse de certification montre que DO-178C, DO-254, ARP4754B, ARP4761A, DO-297, DO-326A, DO-355A et DO-356A ne certifient pas TSN en tant que technologie. Ils structurent l’assurance des logiciels, matériels, systèmes intégrés, risques de sécurité et maintien de navigabilité. L’AC 20-156 de la FAA demande déjà une démonstration du fonctionnement prévu du databus, de sa robustesse, de son installation, de son évolution et de ses protections. Le problème central est donc de produire un dossier de configuration et de vérification capable de relier chaque exigence aéronef à une ressource TSN, une hypothèse temporelle, une analyse de panne et un essai de robustesse [R3].

Enfin, le papier examine une architecture de calcul fédérée inspirée des principes d’orchestration distribuée sans reprendre le modèle dynamique de Kubernetes. Les fonctions critiques restent allouées hors ligne à des nœuds et créneaux préqualifiés. La découverte, le consensus, le failover et la migration sont bornés par des époques, des ensembles de candidats et des fenêtres TSN. Les traitements non critiques peuvent bénéficier d’une souplesse supérieure. Cette voie est présentée comme une perspective de recherche, non comme une architecture certifiée disponible.

Abstract#

Avionics Full-Duplex Switched Ethernet enabled the integration of large numbers of airborne functions over a deterministic switched network by enforcing a deliberately narrow discipline: unidirectional Virtual Links, static routes, Bandwidth Allocation Gap policing, bounded frame sizes, and replication over two physically separate networks. These properties remain valuable because they create reviewable certification artifacts and support closed-world end-to-end timing analyses. They become increasingly expensive when architectures must consolidate traffic with heterogeneous criticalities and burst patterns, distribute a common notion of time, transport high-rate sensor data, or support controlled reconfiguration.

Time-Sensitive Networking is not a single protocol that directly replaces ARINC 664 Part 7. It is an IEEE 802.1 toolbox covering time synchronization, scheduled traffic, frame preemption, per-stream filtering and policing, centralized configuration, asynchronous shaping, and frame replication and elimination. IEEE 802.1DP / SAE AS6675, published in November 2025, now profiles those mechanisms for aerospace onboard Ethernet. This paper argues that TSN is a natural evolution of AFDX invariants, but not a transparent substitution of its assurance case.

We organize the comparison around five contracts: traffic, time, path, fault, and configuration. A migration is defensible only when the TSN design preserves an explicit delay bound, jitter bound, fault independence argument, and traceable configuration at least equivalent to the legacy AFDX evidence. We provide analytical models and clearly identified illustrative calculations for serialization, drift, service curves, scheduling, replication, and availability. Established standards, research results, proposed architectures, and hypothetical validation scenarios are kept separate.

The paper further analyzes coexistence gateways, cybersecurity, development assurance, IMA and virtualization, and a prospective federated computing architecture. Critical workloads remain statically assigned to prequalified nodes and TSN windows, while bounded orchestration concepts are considered for failover and non-critical workloads. The resulting position is neither that TSN automatically supersedes AFDX nor that certification requires freezing legacy technology. TSN expands the design space; certification requires constraining that space into a small, deterministic, reviewable profile.

Mots-clés#

AFDX ; ARINC 664 Part 7 ; TSN ; IEEE 802.1DP ; SAE AS6675 ; IEEE 802.1AS ; Qbv ; Qbu ; Qci ; Qcc ; Qcr ; 802.1CB ; IMA ; ARINC 653 ; déterminisme ; certification ; cybersécurité ; avionique distribuée.

1. Introduction#

1.1 Du fil dédié au réseau partagé#

L’histoire des réseaux avioniques peut être lue comme une succession de déplacements de la preuve. Avec une liaison point à point ARINC 429, la topologie physique, le sens unique et le débit choisi réduisent l’espace d’interférence. Avec MIL-STD-1553, la maîtrise des échanges est déplacée vers un contrôleur de bus et une table de commandes. CAN introduit une arbitration distribuée par identifiant et reste adapté à de nombreux sous-systèmes, mais sa sémantique d’accès et son débit ne répondent pas seuls au besoin d’un backbone IMA. AFDX déplace encore la preuve vers une configuration de réseau commuté : le déterminisme n’est plus obtenu par absence de partage, mais par contrôle des arrivées, réservation logique et analyse des contentions.

Le terme « évolution naturelle » doit être utilisé avec prudence. Il ne signifie ni compatibilité binaire, ni supériorité universelle, ni disparition immédiate d’AFDX. Il signifie que le problème industriel posé par AFDX, transporter plusieurs fonctions critiques sur Ethernet avec des bornes vérifiables, est précisément le problème généralisé par TSN. Le standard IEEE 802.1DP / SAE AS6675 confirme cette continuité en profilant TSN et les fonctions de sécurité IEEE 802.1 pour les réseaux Ethernet 802.3 embarqués aérospatiaux [R1].

1.2 Question de recherche#

La question n’est pas « TSN est-il plus rapide ? ». Un lien plus rapide réduit la sérialisation, mais ne prouve ni l’absence d’interférence, ni la disponibilité, ni l’intégrité temporelle. La question est : sous quelles contraintes un réseau TSN peut-il reprendre les propriétés de sûreté et de prédictibilité associées à AFDX tout en ouvrant le débit, la synchronisation et l’intégration ? Cette question impose de comparer des contrats et non des listes de fonctions.

Nous notons un flux \(f\) par le tuple

\[f=(s,D,L_{max},T,J,d,\chi,r,p),\]

où \(s\) est la source, \(D\) l’ensemble des destinations, \(L_{max}\) la taille maximale, \(T\) la période ou l’intervalle minimal, \(J\) la gigue d’émission, \(d\) l’échéance, \(\chi\) la criticité, \(r\) la stratégie de redondance et \(p\) le chemin. AFDX fixe surtout \(L_{max}\), le BAG, la route et la duplication. TSN peut également fixer une phase, une fenêtre, une classe, une règle de préemption, un policer, un mécanisme FRER et une source temporelle. L’espace de preuve s’élargit autant que l’espace de conception.

Limites. Le papier ne prétend pas décrire une configuration propriétaire d’Airbus, Boeing, d’un équipementier ou d’un aéronef particulier. Les exemples d’architecture sont génériques. Les valeurs de scénarios sont explicitement hypothétiques.

1.3 Contributions#

La première contribution est une cartographie actualisée des standards. En juillet 2026, IEEE 802.1DP / SAE AS6675 est publié, ARP4754B et ARP4761A ont remplacé leurs éditions historiques de 2010 et 1996 dans le catalogue SAE, DO-355A est disponible, et IEEE 802.1CB-2017 possède un corrigendum 2026 [R1][R4][R5][R6]. Citer uniquement les anciennes éditions sans préciser leur statut induirait un état de l’art obsolète.

La deuxième contribution est un cadre de migration par contrats. La troisième est une analyse quantitative reproductible fondée sur des hypothèses, sans résultat inventé. La quatrième est une architecture de coexistence et de calcul fédéré dont les mécanismes dynamiques sont bornés. La cinquième est une matrice d’assurance reliant fonctionnalités TSN, risques, artefacts et activités de vérification.

2. Architecture complète d’un avion moderne#

2.1 Domaines et frontières de confiance#

Un avion moderne n’est pas un réseau homogène. Il associe des fonctions de commande, navigation, surveillance, propulsion, interface équipage, maintenance, communication externe et service passager. Les niveaux d’assurance, périodes, volumes, dépendances et expositions diffèrent. Concevoir un backbone unique ne signifie donc pas effacer les domaines. Cela exige de rendre leurs frontières plus formelles.

L’ADIRU agrège des informations aérodynamiques et inertielles ; l’IRS fournit une référence de position et d’attitude ; le FMS calcule et maintient la trajectoire ; les FCC ferment des boucles de commande ; le FADEC régule le moteur ; ECAM ou EICAS synthétise les états et alertes ; radar météo, TCAS et GPWS contribuent à la conscience de situation. SATCOM traverse une frontière externe. La maintenance échange des volumes importants et des données moins urgentes. L’IFE et le domaine passager présentent une surface d’attaque et des exigences de disponibilité différentes de celles du domaine de contrôle.

2.2 Flux de commande et flux de mission#

La boucle capteur-calculateur-actionneur illustre pourquoi le délai réseau ne peut être isolé du calcul. Si une tâche d’acquisition se termine à \(t_a\), si le réseau livre à \(t_n\), si le FCC termine à \(t_c\) et si l’actionneur applique à \(t_e\), alors

\[R_{boucle}=(t_a-t_0)+(t_n-t_a)+(t_c-t_n)+(t_e-t_c).\]

Une réduction de 100 µs sur le réseau est sans valeur si le réveil de partition ajoute une gigue de 500 µs. À l’inverse, une horloge commune TSN peut permettre de phaser acquisition, transmission et calcul, réduisant l’attente entre segments sans accélérer chaque segment.

Exemple numérique 1, illustratif. Une boucle de 10 ms alloue 1,2 ms à l’acquisition, 1,0 ms au transport aller, 4,0 ms au calcul, 1,0 ms au transport retour et 1,5 ms à l’actionneur. La marge vaut (10-8,7=1,3) ms. Si la migration TSN réduit chaque transport de 0,3 ms mais ajoute 0,4 ms de synchronisation et de release jitter au calcul, la nouvelle marge vaut (10-(1,2+0,7+4,4+0,7+1,5)=1,5) ms. Le gain système est 0,2 ms, non 0,6 ms.

Exemple numérique 2, illustratif. Un radar produit 20 Mbit/s utiles et un en-tête global hypothétique de 8 %. Le débit réservé devient 21,6 Mbit/s. Sur 100 Mbit/s, il consomme 21,6 % avant marge ; sur 1 Gbit/s, 2,16 %. Cette division par dix n’établit toutefois pas la borne de délai d’une alerte concurrente.

Bonnes pratiques. Construire une matrice producteur-consommateur contenant criticité, taille, période, burst, deadline, fraîcheur, redondance et domaine de sécurité avant de choisir Qbv, ATS ou une priorité. Le mécanisme doit découler du contrat, pas l’inverse.

2.3 Séparation des domaines#

La connectivité SATCOM, maintenance ou IFE ne doit pas créer un chemin implicite vers les fonctions de vol. VLAN et priorité ne suffisent pas à démontrer l’indépendance ; il faut contrôler le forwarding, l’administration, les clés, le policing, la capacité et les fautes communes. Un backbone physique partagé peut rester acceptable si l’analyse établit que la défaillance ou l’attaque d’un domaine ne prive pas les flux critiques de temps, de mémoire de file, de configuration ou de synchronisation.

3. Fonctionnement complet d’AFDX#

3.1 Virtual Links et contrat de source#

AFDX est un profil d’Ethernet commuté défini par ARINC 664 Part 7. Son unité logique centrale, le Virtual Link, est un canal unidirectionnel d’une source vers une ou plusieurs destinations. La destination MAC encode l’identification du VL ; les switches appliquent des routes configurées. L’unicité de source élimine l’arbitrage multi-émetteur à l’intérieur d’un même VL et simplifie la responsabilité du policing.

Un VL est caractérisé au minimum par une taille maximale \(L_{max}\) et un BAG choisi dans l’ensemble permis par le profil. Une borne simple de débit réservé, hors détails d’en-têtes et d’Inter-Frame Gap, est

\[b_f=\frac{8L_{max}}{BAG}.\]

Exemple numérique 3. Pour \(L_{max}=500\) octets et \(BAG=8\) ms, \(b_f=500\,000\) bit/s. Avec un facteur d’encapsulation hypothétique de 1,12 pour l’étude, l’enveloppe budgétaire devient 560 kbit/s. Le facteur doit être remplacé dans un dossier réel par le calcul exact des octets transmis sur le médium.

Exemple numérique 4. Pour 40 VL identiques, la somme naïve vaut 20 Mbit/s utiles. Cette somme ne suffit pas à accepter une sortie de switch : les phases, bursts, routes communes et trames maximales déterminent l’interférence instantanée.

3.2 BAG, gigue et courbe d’arrivée#

Une modélisation classique borne l’arrivée d’un VL par une courbe affine

\[\alpha_f(t)=\sigma_f+\rho_f t, \qquad \rho_f=\frac{8L_{max}}{BAG},\]

où \(\sigma_f\) représente le burst permis par la taille, la gigue et le modèle retenu. L’analyse de réseau calcule ensuite la convolution des arrivées et des services le long de la route. La difficulté ne réside pas dans la formule isolée, mais dans la conservation d’hypothèses cohérentes entre end system, switch et destination.

3.3 Réseaux A et B#

AFDX duplique les trames sur deux réseaux séparés. La destination élimine les doublons et accepte la première copie valide conformément au mécanisme de séquence. La redondance ne double pas automatiquement la disponibilité : les alimentations, chemins, connecteurs, logiciels, tables et erreurs de conception doivent être analysés comme sources de faute commune.

Si \(P_A\) et \(P_B\) sont les probabilités de perte sur deux chemins indépendants, la perte conjointe vaut \(P_AP_B\). Avec une cause commune \(P_C\), un modèle simplifié devient

\[P_{perte}=P_C+(1-P_C)P_AP_B.\]

Exemple numérique 5, purement illustratif. Si \(P_A=P_B=10^{-4}\) par mission et \(P_C=10^{-5}\), le terme indépendant vaut \(10^{-8}\), mais la perte totale approche \(1,001\times10^{-5}\). La cause commune domine de trois ordres de grandeur. Ces nombres ne représentent aucune flotte ; ils montrent pourquoi la disjonction topologique est insuffisante sans analyse commune.

3.4 Traffic policing#

Le policing protège le réseau contre une source babbling ou mal configurée. Le switch vérifie l’identifiant, la longueur et la conformité temporelle. Une trame non conforme est rejetée plutôt que laissée en concurrence avec les flux garantis. Cette propriété est une référence essentielle pour TSN : Qci doit reprendre le rôle de frontière, et non être traité comme une option de performance.

POLICER_VL(frame, state, contract):
    reject if frame.vl_id != contract.vl_id
    reject if frame.length > contract.lmax
    expected = state.last_accepted + contract.bag
    reject if frame.time < expected - contract.allowed_jitter
    state.last_accepted = frame.time
    forward(frame, contract.static_outputs)

Ce pseudo-code est volontairement abstrait. Il ne remplace ni le mécanisme exact de l’ARINC 664-7, ni les règles de tolérance du profil. Il expose l’invariant : l’état du flux et son contrat précèdent le forwarding.

3.5 Délai de bout en bout#

Pour une route \(p_f\) traversant \(h\) switches, une décomposition prudente est

\[D_f=D_{src}+\sum_{k=0}^{h}D_{ser,k}+\sum_{k=1}^{h}(D_{sw,k}+D_{queue,k})+D_{prop}+D_{dst}.\]

La sérialisation d’une trame de \(L\) octets sur un lien de débit \(C\) est \(D_{ser}=8L/C\), avant prise en compte du préambule, de l’IFG et des en-têtes physiques. Le délai de file exige une analyse de trafic. Une moyenne observée ne peut remplacer une borne.

Exemple numérique 6. Une charge de 1 518 octets demande (121,44) µs à 100 Mbit/s et (12,144) µs à 1 Gbit/s, hors overhead physique. Sur quatre sérialisations, l’écart brut est 437,184 µs. Ce gain peut être absorbé par une fenêtre Qbv manquée si la phase n’est pas maîtrisée.

Exemple numérique 7. Dans un modèle illustratif, \(D_{src}=120\) µs, quatre sérialisations de 124 µs, trois commutations de 16 µs, une interférence bornée de 310 µs, \(D_{prop}=5\) µs et \(D_{dst}=90\) µs donnent \(1\,069\) µs. Le résultat n’est valable que pour les hypothèses d’arrivée et de service ayant produit les 310 µs.

Certification. La FAA AC 20-156 demande que le databus accomplisse sa fonction prévue et satisfasse les exigences de navigabilité dans son installation. Les analyses de délai, l’intégrité des tables, le comportement hors contrat, le câblage et l’évolution de configuration appartiennent donc au dossier, pas seulement la conformité électrique [R3].

3.6 De la charge moyenne à la borne déterministe#

Le dimensionnement AFDX ne peut être réduit à la somme des débits moyens. Deux ensembles de VL ayant la même charge peuvent produire des contentions différentes si leurs tailles, BAG, gigues et routes diffèrent. Une analyse de type network calculus représente les arrivées par des enveloppes et le réseau par des courbes de service. Elle cherche une borne valable pour toutes les séquences conformes, non une trajectoire temporelle probable.

Pour une arrivée bornée par \(\alpha\) et un service minimal \(\beta\), une borne de backlog peut s'écrire

\[B_{max}\leq \sup_{t\geq0}\{\alpha(t)-\beta(t)\},\]

et une borne de délai horizontal

\[D_{max}\leq \sup_{s\geq0}\inf\{\tau\geq0:\alpha(s)\leq\beta(s+\tau)\}.\]

Ces expressions n'indiquent pas automatiquement quelles enveloppes choisir. Une gigue amont peut augmenter le burst aval. Une multiplexion peut modifier la forme de sortie. Une priorité stricte réduit le service résiduel disponible pour les classes basses. Une route multicast partage un préfixe puis diverge. La validité du résultat dépend de la manière dont chaque opération conserve ou transforme le contrat.

Exemple numérique 7a, illustratif. Une source possède une enveloppe \(\alpha(t)=12\,000+4\times10^6t\) bits et rencontre un service rate-latency \(\beta(t)=80\times10^6[t-100\ \mu s]^+\). Le burst initial demande 150 µs au débit de service, auxquels s'ajoutent 100 µs de latence. Une borne élémentaire de délai est donc 250 µs lorsque le débit soutenu de 4 Mbit/s reste inférieur à 80 Mbit/s. Ce calcul ne couvre ni les autres sauts ni les overheads.

La conservation du burst est une question majeure. Si plusieurs VL indépendants convergent, additionner leurs bursts suppose qu'ils peuvent tous arriver simultanément. Cette hypothèse est sûre mais peut être très pessimiste. Exploiter des phases mutuellement exclusives réduit le pessimisme, mais transforme ces phases en hypothèses de sûreté à maintenir par l'ordonnanceur et la configuration. L'intégrateur doit choisir explicitement entre une preuve robuste à la phase et une preuve plus serrée mais dépendante du phasage.

3.7 Multicast, agrégation et branches#

Un VL AFDX peut desservir plusieurs destinations. Les trames sont répliquées aux points de branchement selon les tables statiques. Le délai vers chaque destination doit être calculé sur sa route, tandis que les ressources du préfixe commun ne sont comptées qu'une fois pour la transmission considérée. Une modélisation qui duplique le trafic dès la source surestime la charge du préfixe ; une modélisation qui oublie les copies après branchement sous-estime la charge des branches.

Le même problème réapparaît avec FRER et les streams multicast TSN. La topologie logique doit donc distinguer trois opérations : forwarding vers une sortie unique, réplication fonctionnelle vers plusieurs listeners et réplication de fiabilité vers plusieurs chemins. Ces opérations ont des sémantiques de séquence, de perte et d'élimination différentes.

3.8 End systems et hypothèses cachées#

Le réseau commuté ne peut offrir une garantie supérieure au comportement de ses end systems. Une application peut produire à l'heure, mais une pile réseau, un driver ou un DMA peut retarder la trame. Un récepteur peut recevoir à temps et ne traiter le message qu'à la prochaine fenêtre de partition. Les délais d'end system doivent donc être séparés en attente applicative, copie, encapsulation, régulation, accès NIC, réception, validation et livraison.

Cette décomposition évite deux erreurs. La première consiste à attribuer au réseau une gigue produite par le calcul. La seconde consiste à mesurer seulement du port d'entrée au port de sortie et à conclure sur une deadline fonctionnelle. Dans une migration TSN, le hardware timestamping fournit de meilleurs points d'observation, mais le timestamp doit être relié à l'événement fonctionnel réellement exigé.

Bonnes pratiques. Conserver trois budgets distincts, réponse fonctionnelle, traversée réseau et âge de donnée. Une trame peut respecter son délai réseau tout en transportant une donnée déjà trop ancienne ; elle peut aussi arriver tard au port mais être acceptable si la fonction consomme par lot à une échéance ultérieure.

4. Limites d’AFDX#

AFDX n’est pas rendu obsolète par son déterminisme. Ses limites résultent du coût croissant nécessaire pour maintenir ce déterminisme dans un périmètre plus large. Le débit de 100 Mbit/s du profil déployé, l’absence de temps global dans le cœur du mécanisme, le modèle uniforme rate-constrained et la configuration VL deviennent contraignants face aux capteurs, au stockage, à la maintenance prédictive et au calcul distribué.

Exemple numérique 8. Un transfert de maintenance de 2 Gio sur un débit utile hypothétique de 60 Mbit/s dure environ 286 s. À 600 Mbit/s utiles, il dure 28,6 s. Le gain opérationnel est réel, mais réserver 600 Mbit/s ne doit pas réduire la fenêtre d’un flux DAL-A.

Exemple numérique 9. Un catalogue de 2 000 flux avec deux routes redondantes représente au minimum 4 000 instanciations de chemin. Si chaque modification exige 12 contrôles croisés, 48 000 vérifications sont nécessaires. L’automatisation devient indispensable, mais l’outil générateur devient alors un outil susceptible d’exiger qualification ou vérification indépendante selon son usage.

La limitation la plus subtile est l’absence d’expression native de plusieurs disciplines temporelles. Un flux de commande cyclique peut bénéficier d’un créneau ; un flux d’alerte sporadique peut préférer une régulation asynchrone ; une caméra peut utiliser une classe façonnée. AFDX peut transporter ces données, mais son modèle ne différencie pas finement leurs modes de service. TSN rend cette différenciation possible, au prix d’une politique de sélection.

5. Introduction au TSN#

5.1 Une boîte à outils, pas un bus#

TSN est le nom du groupe de fonctions IEEE 802.1 destiné à fournir temps commun, latence bornée, protection contre les sources non conformes, disponibilité et configuration des streams. Il conserve les trames Ethernet et l’architecture de bridges 802.1Q. Cette continuité permet de réutiliser des PHY, outils et compétences, mais elle ne garantit pas que deux équipements annonçant « TSN » soient interopérables dans un usage aérospatial. Un profil doit sélectionner les mécanismes et fixer leurs options.

IEEE 802.1DP / SAE AS6675 répond précisément à la nécessité de profilage. Le standard publié sélectionne des caractéristiques IEEE 802.1 TSN et Security pour les réseaux embarqués Ethernet 802.3, avec des objectifs de latence bornée, sécurité, haute disponibilité, fiabilité et maintenabilité [R1][R2]. Il ne certifie aucun produit. Il réduit l’espace d’interopérabilité que les intégrateurs doivent encore transformer en exigences de programme.

5.2 Déterminisme temporel et déterminisme par débit#

AFDX garantit un débit minimal et borne les conséquences de la contention. Qbv peut empêcher la contention entre classes planifiées en ouvrant leurs gates à des instants fixés. ATS peut fournir des bornes sans calendrier global de chaque trame. Ces approches ne sont pas mutuellement exclusives, mais leur composition doit être limitée.

Une courbe de service périodique simplifiée pour une fenêtre de durée \(w\) dans un cycle \(T_c\), sur un lien \(C\), offre un débit long terme \(Cw/T_c\). Une borne conservative de latence d’attente avant fenêtre vaut presque \(T_c-w\), à laquelle s’ajoutent sérialisation et traversées.

Exemple numérique 10. Sur 1 Gbit/s, une fenêtre de 200 µs toutes les 1 ms offre 200 Mbit/s bruts à la classe. Une trame arrivant juste après fermeture peut attendre près de 800 µs. Le débit élevé n’empêche donc pas une mauvaise borne de phase.

Exemple numérique 11. Dix flux périodiques de 1 000 octets toutes les 10 ms demandent 8 Mbit/s utiles. Une fenêtre de 100 µs par milliseconde à 1 Gbit/s offre 100 Mbit/s bruts. Le facteur de charge est faible, mais il faut vérifier que les dix trames, overhead compris, tiennent dans la fenêtre et que leurs releases sont alignées.

Limites. « TSN » ne constitue pas une exigence testable. Une exigence doit nommer le profil, les mécanismes, versions, options, paramètres, modèles de gestion, hypothèses de synchronisation et comportements dégradés.

6. Normes TSN pertinentes#

6.1 IEEE 802.1AS, synchronisation#

IEEE 802.1AS spécifie les protocoles et procédures permettant de satisfaire des exigences de synchronisation dans des LAN bridgés, en utilisant IEEE 1588 lorsque pertinent. Il traite la maintenance du temps lors des changements ou pannes de composants ; il ne requiert pas que l’échelle soit UTC ou TAI [R7]. Dans l’avionique, son intérêt est le phasage des transmissions, l’horodatage cohérent, la corrélation d’événements et la surveillance de dérive.

Son risque principal est le mode commun : un temps faux mais cohérent peut déplacer toutes les fenêtres. La conception doit distinguer disponibilité du temps, exactitude, intégrité et continuité. La publication en 2026 de 802.1ASed sur le Fault-Tolerant Timing with Time Integrity confirme que l’intégrité temporelle est un sujet distinct de la seule convergence [R8].

6.2 IEEE 802.1Qbv, Scheduled Traffic#

Qbv associe à chaque port une Gate Control List qui ouvre ou ferme les files selon le temps. Si les calendriers sont cohérents sur le chemin, une trame planifiée peut traverser sans interférence de classe inférieure. La preuve doit inclure la précision d’horloge, les temps de résidence, les gard bands, les tailles maximales et les mises à jour de GCL.

Exemple numérique 12. Un cycle de 1 ms réserve 250 µs à la commande, 300 µs à la navigation et 350 µs aux données, laissant 100 µs de garde et gestion. Les fractions brutes sont 25 %, 30 %, 35 % et 10 %. Une augmentation de garde à 160 µs réduit la dernière fenêtre à 290 µs si le cycle reste fixe.

6.3 IEEE 802.1Qbu et IEEE 802.3br, préemption#

La préemption permet à une trame express de ne pas attendre la fin d’une grande trame préemptable. Le blocage maximal devient lié à un fragment plutôt qu’à la MTU complète, avec overhead et contraintes de vérification du lien. Le bénéfice doit être comparé à la complexité matérielle et aux comportements de merge.

Exemple numérique 13. À 100 Mbit/s, une trame de 1 518 octets représente 121,44 µs hors overhead. À 1 Gbit/s, 12,144 µs. Si un fragment maximal hypothétique pour l’analyse représente 128 octets, son temps est 10,24 µs à 100 Mbit/s et 1,024 µs à 1 Gbit/s. Le calcul réel doit employer les tailles et overhead définis par les standards et le matériel.

6.4 IEEE 802.1Qci, Per-Stream Filtering and Policing#

Qci ajoute identification, filtering, gates et meters par stream à l’entrée. Il protège les ressources contre un talker babbling, une erreur de configuration ou certains floods. IEEE décrit explicitement l’amélioration du forwarding pour le filtrage et policing par stream [R9]. Dans une migration, Qci est l’héritier fonctionnel le plus direct du policing AFDX, mais sa richesse impose d’établir quels champs identifient un stream et comment l’état est réinitialisé.

6.5 IEEE 802.1Qcc, configuration#

Qcc étend la réservation avec un modèle de configuration pouvant impliquer Centralized User Configuration et Centralized Network Configuration. Pour l’avionique, le CNC ne doit pas être assimilé à un contrôleur SDN libre de recalculer le réseau en vol. Il peut être un outil hors ligne ou une fonction embarquée très bornée. Son niveau d’assurance dépend de son autorité réelle.

6.6 IEEE 802.1Qcr, Asynchronous Traffic Shaping#

ATS utilise des régulateurs interleaved et une sélection asynchrone pour obtenir des résultats déterministes sans dépendre d’un calendrier global de transmission. Il est intéressant pour les événements sporadiques et les réseaux où une GCL globale serait trop rigide. Sa preuve repose sur les contrats d’arrivée et la composition des régulateurs.

Exemple numérique 14. Trois flux ont des débits réservés de 2, 3 et 5 Mbit/s et des bursts de 4, 6 et 8 kbit. Leur agrégat long terme vaut 10 Mbit/s et le burst 18 kbit. Sur un service résiduel de 50 Mbit/s, une borne affine élémentaire de vidage du burst est (18,000/(50-10)10^6=450) µs, avant latences fixes. Ce calcul pédagogique n’est pas une analyse ATS complète.

6.7 IEEE 802.1CB, FRER#

FRER identifie un stream, réplique les paquets sur des chemins redondants et élimine les doublons. IEEE précise que le standard ne crée pas lui-même les chemins multiples ; leur établissement reste une responsabilité distincte [R10]. Cette nuance est essentielle : activer FRER sans démontrer la disjonction ne reproduit pas les réseaux A/B d’AFDX.

Exemple numérique 15. Un stream de 8 Mbit/s répliqué deux fois consomme 16 Mbit/s sur les segments disjoints et revient à 8 Mbit/s après élimination. Si les deux copies partagent un trunk de 100 Mbit/s pendant un saut, ce trunk supporte 16 Mbit/s et constitue une cause commune. L’analyse doit porter sur chaque coupe, pas seulement sur les branches visibles.

6.8 Sélection d'un sous-profil de programme#

Le profil aérospatial réduit l'espace TSN général, mais un programme doit encore fixer son propre sous-profil. Cette décision doit être guidée par les flux et les preuves. Activer simultanément toutes les fonctions disponibles augmente le nombre d'interactions sans garantir une meilleure performance. Un sous-profil minimal peut, par exemple, rendre 802.1AS obligatoire pour les classes planifiées, Qci obligatoire à chaque frontière, Qbv limité à un petit nombre de cycles, FRER réservé aux flux possédant une exigence de disponibilité et ATS réservé à une classe sporadique.

La sélection doit préciser les versions et corrigenda, le nombre de traffic classes, les tailles maximales, les règles de priorité, les comportements de queue, la précision temporelle, les timeouts, les compteurs, les actions PSFP, les points FRER, les méthodes de configuration et le monitoring. Les valeurs laissées à l'implémentation doivent être identifiées, puis supprimées de la variabilité opérationnelle lorsqu'elles affectent une garantie.

6.9 Composition Qbv, Qci, Qbu et FRER#

Les mécanismes ne s'appliquent pas dans un vide. Une trame répliquée par FRER peut traverser une gate Qbv sur chaque branche. Qci peut la filtrer avant ou après certaines transformations selon la position fonctionnelle. Qbu peut préempter un trafic inférieur avant la fenêtre. Les séquences FRER doivent supporter le retard différentiel créé par des calendriers distincts. Une preuve locale par mécanisme ne suffit pas si l'ordre des fonctions change le résultat.

Pour deux copies d'un stream, notons \(D_1\) et \(D_2\) leurs délais. La fenêtre d'élimination doit tolérer un différentiel

\[\Delta D_f=|D_1-D_2|\]

compatible avec le réordre et le débit maximal. Une histoire trop courte peut accepter un doublon tardif comme nouveau ; une histoire trop longue consomme davantage d'état et peut interagir avec le wrap du numéro de séquence. Le dimensionnement doit considérer les pannes qui rallongent un chemin sans le couper.

Exemple numérique 15a, illustratif. Une copie arrive en 220 µs et l'autre en 1,35 ms parce qu'elle a manqué une fenêtre. Le différentiel est 1,13 ms. À 10 000 trames/s, jusqu'à 12 numéros de séquence peuvent séparer les copies, en arrondissant conservativement. Une fenêtre d'historique de quatre entrées serait insuffisante dans ce scénario.

La composition Qci-Qbv pose une autre question. Si le gate PSFP du stream et la gate de transmission sont toutes deux temporelles, leurs budgets d'horloge et leurs phases doivent être cohérents. Une trame conforme à la source pourrait être rejetée à l'entrée si le calendrier PSFP est plus serré que l'incertitude d'arrivée. À l'inverse, une gate d'entrée trop large laisse passer un burst que la fenêtre de sortie ne peut absorber.

Exemple numérique 15b, illustratif. Une trame nominale arrive à 100 µs avec une gigue de ±20 µs et une incertitude d'horloge pair à pair de ±1 µs. Une gate d'entrée de 79 à 121 µs couvre l'enveloppe nominale additive. La réduire à 85-115 µs produit des rejets conformes aux extrêmes ; l'élargir à 60-140 µs augmente le burst potentiel si plusieurs périodes peuvent se rapprocher.

6.10 Monitoring sans perturbation#

Le monitoring doit rendre visibles les pertes Qci, changements de Grandmaster, erreurs de séquence FRER, dépassements de file, activations de configuration et fautes de lien. Il ne doit pas créer un canal non borné qui concurrence les flux surveillés. Les compteurs peuvent être lus localement, agrégés à période fixe et envoyés dans une classe réservée. Les événements critiques nécessitent une voie d'alerte à deadline, distincte du flux volumétrique de telemetry.

La signification d'un compteur doit être stable. Un reset au redémarrage, un wrap, une lecture non atomique ou une agrégation de plusieurs ports peut masquer une tendance. Le manifeste doit préciser largeur, unité, condition d'incrément, comportement au reset et correspondance avec l'identifiant de configuration.

Limites. L'observabilité ne transforme pas une violation en comportement acceptable. Elle réduit le délai de détection et améliore l'analyse de maintenance. Le confinement doit agir avant que le monitoring ne rapporte la faute.

7. Synchronisation et intégrité temporelle#

7.1 Le temps comme ressource de sûreté#

L'introduction d'un temps distribué modifie profondément le dossier de sûreté. Dans un réseau AFDX classique, la borne de délai dépend principalement des contrats d'arrivée, des routes et du service offert par les liens et commutateurs. Dans une configuration Qbv, la décision de transmettre dépend aussi de la valeur locale du temps. Une faute d'horloge peut donc produire une faute de communication sans qu'aucun lien soit rompu et sans qu'aucune trame soit corrompue. Le temps devient une ressource partagée au même titre que la bande passante, la mémoire de file ou l'alimentation.

IEEE 802.1AS définit une architecture de synchronisation fondée sur des systèmes temporels, des ports capables ou non de participer au protocole, des mesures de délai et une sélection de référence. Le standard établit les procédures de transport du temps dans un réseau bridgé. Il ne transforme pas à lui seul la référence sélectionnée en source intègre pour une fonction DAL-A [R7]. Cette distinction est centrale. Une horloge peut être disponible et cohérente tout en étant fausse. Une architecture avionique doit donc traiter séparément quatre propriétés :

Dans un échange bidirectionnel idéal, avec des horodatages \(t_1,t_2,t_3,t_4\), le délai moyen et l'offset sont estimés par

\[\widehat{d}=\frac{(t_2-t_1)+(t_4-t_3)}{2}, \qquad \widehat{\theta}=\frac{(t_2-t_1)-(t_4-t_3)}{2}.\]

Cette estimation suppose une symétrie suffisante des délais aller et retour. Si l'asymétrie réelle vaut \(a=d_{aller}-d_{retour}\), le biais d'offset peut atteindre \(a/2\). Le hardware timestamping réduit les composantes variables dues aux piles logicielles, mais il ne supprime ni l'asymétrie physique, ni une erreur de correction de résidence, ni une mauvaise sélection de Grandmaster.

Exemple numérique 16, illustratif. Un échange mesure 12,8 µs à l'aller et 11,6 µs au retour. Le délai moyen est 12,2 µs et le biais potentiel associé à l'asymétrie est 0,6 µs. Si une fenêtre de transmission ne possède qu'une marge temporelle de 0,4 µs, l'hypothèse de symétrie est insuffisante, même si la précision statistique répétée paraît meilleure.

7.2 Budget d'erreur d'horloge#

Un budget de synchronisation conservatif additionne les contributions qui peuvent se cumuler dans le même sens. Pour un nœud \(i\), nous écrivons

\[E_i \leq E_{GM}+E_{mes}+E_{asym}+\sum_{b\in p_i}E_{res,b}+E_{servo,i}+\rho_i\Delta t,\]

où \(E_{GM}\) borne l'erreur de référence, \(E_{mes}\) la mesure, \(E_{asym}\) l'asymétrie non compensée, \(E_{res,b}\) la correction de résidence du bridge \(b\), \(E_{servo,i}\) l'erreur d'asservissement, \(\rho_i\) la dérive fractionnaire de l'oscillateur et \(\Delta t\) le temps depuis la dernière correction valide. Cette somme n'est pas une prescription de 802.1AS. Elle constitue une structure d'allocation d'exigences pour le dossier système.

Exemple numérique 17, illustratif. Une architecture alloue 100 ns à la référence, 80 ns à l'horodatage, 120 ns à l'asymétrie, 50 ns à chacun de quatre bridges, 150 ns au servo et 200 ns au holdover. La borne additive vaut \(850\) ns. Si l'exigence pair à pair est 1 µs, la marge analytique est 150 ns. Une combinaison quadratique serait plus favorable mais exigerait de justifier l'indépendance statistique, rarement appropriée pour une borne de sûreté.

Exemple numérique 18, illustratif. Un oscillateur borné à 20 ppm en holdover accumule au plus \(20\ \mu s\) par seconde. Après 50 ms sans correction, la contribution vaut 1 µs. Après 2 s, elle vaut 40 µs. Une stratégie qui tolère une perte de synchronisation de plusieurs secondes doit donc posséder une source locale plus stable, une garde plus large ou une transition vers un mode non planifié.

7.3 Redondance et diversité des domaines temporels#

Deux Grandmasters raccordés au même oscillateur, alimentés par la même carte et sélectionnés par le même logiciel ne constituent pas deux sources indépendantes. La redondance pertinente doit examiner la référence physique, le chemin de distribution, les bridges, l'alimentation, le logiciel de sélection, la configuration et le mécanisme de détection. La sélection automatique ne doit pas propager silencieusement un saut de phase au moment d'une bascule.

Un moniteur indépendant peut comparer deux domaines et une horloge locale libre. Il ne décide pas nécessairement quelle source est vraie, mais il peut détecter une incohérence incompatible avec l'enveloppe autorisée. La réaction doit être déterministe : geler une GCL, élargir une garde, sélectionner un plan de secours ou arrêter les transmissions planifiées selon la criticité du flux.

Exemple numérique 19, illustratif. Deux domaines s'écartent de 3,2 µs alors que la limite de comparaison est 2 µs pendant trois cycles consécutifs. Avec un cycle de 1 ms, le défaut est déclaré en moins de 3 ms, plus le délai de traitement. Ce chiffre n'est pas une recommandation normative. Il montre comment une exigence de détection doit associer seuil, persistance et délai.

Certification. La preuve temporelle doit couvrir le démarrage, la convergence, la perte de référence, le holdover, la bascule, le rétablissement, les sauts, le délai de détection et la cohérence des GCL pendant chaque transition. Une mesure de précision en régime établi ne couvre pas ces états.

8. Ordonnancement déterministe#

8.1 Construction d'une Gate Control List#

Une GCL est une table temporelle répétée. Pour chaque intervalle, elle définit l'état ouvert ou fermé des gates associées aux files. La planification doit respecter la capacité de chaque lien, les précédences de chemin, les temps de propagation et de traitement, les gard bands, la dérive maximale ainsi que les contraintes des files non planifiées.

Pour une trame \(f\) émise sur le lien \(e\), notons \(x_{f,e}\) son début, \(s_{f,e}\) sa durée de sérialisation et \(W_{f,e}=[o_{f,e},c_{f,e}]\) sa fenêtre. Les contraintes élémentaires sont

\[o_{f,e} \leq x_{f,e}, \qquad x_{f,e}+s_{f,e}\leq c_{f,e}.\]

Pour deux transmissions non préemptibles utilisant la même ressource, l'une doit précéder l'autre :

\[x_{f,e}+s_{f,e}\leq x_{g,e} \quad \lor \quad x_{g,e}+s_{g,e}\leq x_{f,e}.\]

Sur deux liens successifs \(e_1,e_2\), une contrainte de causalité impose

\[x_{f,e_2}\geq x_{f,e_1}+s_{f,e_1}+d_{prop}+d_{bridge}.\]

Ces relations permettent une formulation SMT, MILP ou CP-SAT. La production d'une solution n'est toutefois que la première étape. Il faut générer un certificat vérifiable indépendamment : utilisation par fenêtre, absence de collision, marges de phase, deadline, profondeur de file et comportement en faute.

VERIFIER_PLAN(flows, links, schedule, clock_budget):
    for each link in links:
        intervals = transmissions(schedule, link)
        assert every interval is inside an open gate window
        assert no non-preemptible intervals overlap
        assert guard_band(link) >= clock_budget(link) + blocking(link)

    for each flow in flows:
        assert route_is_authorized(flow.route)
        assert causal_order_is_preserved(flow, schedule)
        assert completion(flow, schedule) <= flow.deadline
        assert reserved_capacity(flow) covers all conforming arrivals

    return traceable_certificate(schedule, margins, assumptions)

Exemple numérique 20, illustratif. Une fenêtre de 80 µs sur un lien 1 Gbit/s transporte au plus 80 000 bits bruts. Quatre trames de 1 500 octets représentent 48 000 bits hors overhead. Le taux de remplissage utile est 60 %. Si chaque trame consomme en réalité 1 538 octets sur le média dans le modèle retenu, quatre transmissions utilisent 49 216 bits et le taux devient 61,52 %.

Exemple numérique 21, illustratif. Un chemin de cinq liens réserve des fenêtres successives à 100, 125, 150, 175 et 200 µs dans le cycle. Une trame de 1 000 octets sérialisée en 8 µs à 1 Gbit/s, avec 4 µs de résidence par bridge, termine vers 208 µs si toutes les fenêtres sont prises. Sa latence réseau planifiée est proche de 108 µs depuis la première émission. Si elle manque la fenêtre à 150 µs, elle peut attendre un cycle complet.

8.2 Arbitrage entre classes#

Une architecture réaliste combine plusieurs disciplines. Les commandes périodiques fortement contraintes peuvent utiliser Qbv. Les alertes sporadiques peuvent employer une classe express régulée. Les données capteur peuvent être façonnées. Le trafic de maintenance utilise le résidu. La cohérence du système dépend des interfaces entre ces disciplines.

Le guard band protège une fenêtre express contre une trame non préemptible déjà commencée. Sans préemption, sa durée doit au moins couvrir le blocage maximal et l'incertitude temporelle. Avec préemption, le blocage est réduit, mais la marge doit inclure le fragment, l'opération de merge et les tolérances matérielles.

Exemple numérique 22. À 100 Mbit/s, réserver 125 µs avant chaque fenêtre pour bloquer une MTU complète représente 12,5 % d'un cycle de 1 ms. À 1 Gbit/s, 12,5 µs représente 1,25 %. La préemption peut encore réduire cette perte, mais le gain relatif dépend du débit, de la fréquence des fenêtres et de la taille maximale non préemptible.

Exemple numérique 23, illustratif. Huit fenêtres par milliseconde utilisent chacune une garde de 4 µs. Le coût est 32 µs, soit 3,2 % du lien. Si le budget d'horloge impose de passer à 7 µs, le coût monte à 5,6 %. Une mauvaise intégrité temporelle se traduit donc directement par une perte de capacité.

Bonnes pratiques. Minimiser le nombre de classes, de cycles et de transitions de gate. Une architecture présentant une GCL différente sur chaque port est peut-être optimisée en capacité, mais elle peut être défavorable en vérification, maintenance et analyse de fautes.

8.3 Gigue et compositionalité#

Pour un flux planifié, la gigue de sortie peut être faible si l'émission est phasée, mais le premier saut doit absorber la gigue de production. Une fenêtre étroite ne corrige pas une tâche qui termine parfois après sa gate. La planification calcul-réseau doit donc être conjointe. Pour un flux ATS, les régulateurs peuvent empêcher l'accumulation de burst, mais la preuve doit inclure les interactions avec les priorités, la préemption et les ports où le trafic rejoint une GCL.

Nous proposons de conserver, pour chaque flux, un vecteur de marge

\[M_f=(m_{release},m_{gate},m_{queue},m_{clock},m_{deadline}).\]

La marge système du flux n'est pas la somme de ces valeurs, car certaines représentent la même slack à différents niveaux. Le vecteur permet au contraire d'éviter le double comptage. Toute évolution de configuration doit montrer quelles composantes diminuent, lesquelles augmentent et quelles hypothèses restent inchangées.

9. Migration progressive de l'AFDX vers TSN#

9.1 Coexistence plutôt que bascule globale#

Une migration aéronautique suit les cycles de certification, de production, de maintenance et de flotte. Elle ne peut raisonnablement supposer que tous les calculateurs, câblages et commutateurs changent simultanément. La coexistence doit donc être une propriété d'architecture. Trois formes sont possibles : domaines AFDX et TSN séparés par une passerelle, transport de certaines charges héritées sur un domaine TSN avec encapsulation profilée, ou remplacement par zones fonctionnelles.

La passerelle n'est pas un adaptateur transparent. Elle termine un contrat et en crée un autre. Côté AFDX, elle reçoit un VL avec BAG, Lmax, séquence et redondance. Côté TSN, elle émet un stream avec identification, classe, policer, fenêtre ou régulateur et stratégie FRER. Elle doit borner la mise en attente, traiter les doublons, conserver ou transformer l'identité de flux, surveiller les deux domaines et rendre ses pertes observables.

Exemple numérique 24, illustratif. Un VL autorise une trame de 1 000 octets toutes les 8 ms avec 500 µs de gigue. Une passerelle alimentant une fenêtre TSN toutes les 1 ms doit pouvoir absorber au moins la gigue et l'alignement de fenêtre. Si la trame arrive 10 µs après fermeture, elle attend environ 990 µs. Une borne prudente de séjour d'entrée est donc supérieure à 1,49 ms avant traitement et sérialisation.

9.2 Phases de transition#

Une stratégie de transition peut être découpée en cinq phases contrôlées : instrumentation du réseau existant, ajout d'un backbone TSN non critique, migration des flux volumétriques, migration de fonctions critiques avec équivalence démontrée, puis rationalisation des domaines hérités. Chaque phase doit rester certifiable et réversible au niveau de la configuration, sans supposer un rollback logiciel arbitraire en vol.

Exemple numérique 25, illustratif. Une flotte possède 120 références d'équipements et une fenêtre de retrofit de 8 heures par appareil. Ajouter deux passerelles nécessitant 45 minutes chacune, 30 minutes de test réseau et 20 minutes de marge consomme 140 minutes, soit 29,2 % de la fenêtre. La valeur illustre que la masse, la connectique, le test au sol et la logistique peuvent dominer le choix technique.

Exemple numérique 26, illustratif. Une configuration contient 3 000 streams, 48 bridges et 12 états de mission autorisés. Une vérification naïve de toutes les paires stream-état examine 36 000 cas avant même les pannes. En factorisant les états qui partagent la même allocation réseau en quatre classes d'équivalence, 12 000 cas de base subsistent. Cette réduction doit être justifiée par une preuve d'équivalence de configuration.

9.3 Critère d'équivalence par contrats#

La migration d'un flux \(f\) est acceptable si le contrat TSN satisfait au moins les exigences du contrat AFDX pour toutes les configurations autorisées \(c\) et fautes considérées \(\phi\) :

\[\forall c\in C_{autorise},\ \forall \phi\in\Phi_f:\quad D^{TSN}_{f,c,\phi}\leq d_f, \quad J^{TSN}_{f,c,\phi}\leq J_f^{max}, \quad A^{TSN}_{f,c,\phi}\geq A_f^{min}.\]

Il faut en outre établir le confinement d'une source non conforme, la disjonction des chemins redondants, l'intégrité de configuration et le délai de détection des fautes temporelles. Ce critère ne déclare pas les mécanismes identiques. Il demande une équivalence des propriétés observables et des preuves.

10. Cybersécurité du réseau déterministe#

10.1 Le déterminisme comme cible d'attaque#

Un réseau déterministe offre à l'attaquant des ressources particulièrement sensibles : temps, configuration, tables de filtrage, files express et chemins redondants. Une attaque n'a pas besoin de falsifier la charge utile pour affecter une fonction. Elle peut déplacer la phase, saturer une fenêtre, provoquer une reconfiguration partielle, perturber la réplication ou dégrader le monitoring. DO-326A et DO-356A structurent l'analyse de sécurité de navigabilité, tandis que DO-355A traite le maintien de la sécurité durant le cycle de vie [R11][R12]. Ces documents ne prescrivent pas une architecture TSN, mais exigent que les risques de sécurité susceptibles d'affecter la sécurité aérienne soient identifiés et traités.

10.2 Attaques temporelles#

Une attaque de délai asymétrique peut biaiser l'estimation d'offset sans interrompre le protocole. Une attaque de Grandmaster peut annoncer une meilleure priorité, selon les règles et le profil retenus. Un bridge compromis peut falsifier sa correction de résidence. Une attaque graduelle est particulièrement difficile : elle conserve les écarts sous les seuils instantanés tout en déplaçant lentement les fenêtres.

Exemple numérique 27, illustratif. Un attaquant déplace l'horloge de 100 ns par cycle de 1 ms. Le taux apparent est 100 ppm. Après 20 cycles, l'écart atteint 2 µs. Un moniteur qui ne vérifie qu'un seuil absolu de 5 µs détectera tardivement le glissement, alors qu'un moniteur de pente peut l'identifier plus tôt.

Exemple numérique 28, illustratif. Une classe express autorise un burst de 64 kbit par 10 ms. Un nœud compromis émet 640 kbit. Sans PSFP, il consomme 0,64 ms à 1 Gbit/s hors overhead. Avec un meter correctement configuré, 90 % de la charge est rejetée ou marquée selon la politique, mais la capacité d'entrée, les compteurs et le chemin d'alarme doivent encore résister au flood.

10.3 Défense en profondeur#

MACsec peut fournir confidentialité, intégrité et contrôle d'accès sur des liens Ethernet lorsque le profil et la gestion de clés le permettent. Il ne remplace ni l'authentification de bout en bout d'une donnée fonctionnelle, ni Qci, ni la séparation de domaines. Secure Boot et une Root of Trust protègent la chaîne de démarrage ; ils ne prouvent pas la correction de la configuration active. Une architecture robuste associe donc identité de code, identité de nœud, identité de stream, contrôle temporel, filtrage, segmentation et surveillance.

Le terme Zero Trust doit être interprété avec rigueur. Dans un aéronef, il ne signifie pas qu'une requête dynamique vers un plan de contrôle externe autorise chaque paquet. Il signifie qu'aucun domaine ne reçoit une confiance implicite du seul fait de sa position, que les identités et autorisations sont minimales, que les communications sont explicitement admises et que les preuves de configuration sont vérifiées. L'application doit rester compatible avec les délais et les modes dégradés.

Exemple numérique 29, illustratif. Une protection cryptographique ajoute 32 octets à une charge de 256 octets. L'augmentation de la charge utile réseau est 12,5 %. À 1 Gbit/s, la sérialisation des 32 octets vaut 256 ns, hors traitement. Sur 1 000 trames par seconde, le débit additionnel est 256 kbit/s. Le coût CPU ou HSM ne peut être déduit de ces nombres et doit être mesuré sur la cible.

Limites. La sécurité cryptographique ne rend pas le temps authentique si la source temporelle elle-même est compromise. Inversement, un temps intègre ne garantit pas l'autorisation d'un stream. Les deux contrats doivent être liés mais vérifiés séparément.

11. Certification et construction du dossier d'assurance#

11.1 Les standards d'assurance ne certifient pas une technologie#

DO-178C fournit des objectifs de développement et de vérification des logiciels embarqués. DO-254 joue un rôle analogue pour les matériels électroniques complexes. ARP4754B traite le développement des systèmes d'aéronef, et ARP4761A les méthodes de safety assessment. DO-297 traite l'IMA. DO-326A, DO-355A et DO-356A structurent respectivement le processus de sécurité de navigabilité, son maintien et les méthodes d'évaluation. Aucun de ces documents ne déclare qu'un mécanisme TSN est sûr par nature. Le postulant doit relier exigences, architecture, niveaux d'assurance, développement, vérification et résultats d'intégration [R4][R5][R11][R12][R13].

La version des références importe. ARP4754A reste historiquement très citée, mais SAE publie ARP4754B depuis décembre 2023. ARP4761A est également publiée en 2023. DO-355A apparaît dans le catalogue de sécurité RTCA. Le plan de certification d'un programme doit établir avec l'autorité quelles éditions et quels moyens de conformité sont applicables, plutôt que de supposer automatiquement la dernière édition.

11.2 Chaîne d'assurance proposée#

Nous proposons une chaîne en sept objets. Chaque exigence aéronef produit un contrat de flux. Le contrat est alloué à une route et une discipline. Un outil génère la configuration. Un vérificateur indépendant calcule les invariants. L'image de configuration est signée et chargée atomiquement. Le test sur cible confirme les hypothèses matérielles. Le monitoring en opération vérifie que le système reste dans l'enveloppe.

L'indépendance entre générateur et vérificateur réduit le risque qu'une même erreur algorithmique produise et accepte la configuration. Le vérificateur peut être plus simple que l'optimiseur : il ne recherche pas une solution, il contrôle un certificat. Cette asymétrie est particulièrement utile lorsque l'optimisation utilise un solveur complexe.

PIPELINE_CONFIGURATION(requirements, topology, profiles):
    contracts = derive_stream_contracts(requirements)
    candidate = optimizer.allocate(contracts, topology, profiles)
    certificate = independent_checker.verify(candidate, contracts, topology)
    reject unless certificate.all_properties_hold
    image = canonical_encode(candidate, certificate.identifiers)
    signed_image = sign_in_controlled_environment(image)
    load_atomically(signed_image)
    execute_target_tests_and_fault_injection()

11.3 Robustesse et transitions de configuration#

Une GCL correcte en régime nominal peut échouer pendant sa mise à jour. L'atomicité doit être définie à l'échelle du réseau : instant d'activation commun, compatibilité entre ancienne et nouvelle configuration, délai de propagation, traitement d'un bridge qui refuse la mise à jour et retour vers un état sûr. Le mot rollback ne doit pas masquer une difficulté. Revenir à une image précédente peut réintroduire une clé expirée, une vulnérabilité ou une allocation incompatible avec l'état physique courant.

Certification. L'AC 20-156 reste directement pertinente pour le databus comme installation. La conformité d'un switch à IEEE 802.1DP ne remplace pas la démonstration de fonctionnement prévu, de robustesse, d'intégrité de configuration, d'environnement, de câblage et d'intégration aéronef [R3].

11.4 Outils, solveurs et vérification indépendante#

Une configuration TSN réaliste peut être générée par un solveur d'optimisation. Le solveur explore des milliers de variables de route, fenêtre et file. Son résultat influence directement la satisfaction des deadlines. L'assurance ne peut pas reposer sur la réputation du solveur ou sur le fait qu'il retourne « satisfiable ». Il faut définir l'usage de l'outil, la possibilité qu'une erreur introduise ou omette une erreur dans le produit, et la stratégie de qualification ou de vérification indépendante applicable au cadre retenu.

Une approche efficace consiste à séparer trois langages. Le premier décrit les exigences de flux dans un format canonique. Le deuxième représente la solution générée. Le troisième est un certificat simple contenant les routes, intervalles, marges et sommes de capacité. Un checker indépendant, plus petit que l'optimiseur, recalcule chaque contrainte avec une arithmétique maîtrisée. La preuve ne dépend alors pas de la manière dont la solution a été trouvée.

Les erreurs numériques méritent une attention particulière. Les solveurs utilisent parfois des flottants, alors que les horaires sont finalement encodés en ticks entiers. Un plan faisable en valeur réelle peut devenir infaisable après arrondi. Le checker doit utiliser les valeurs exactement encodées dans les équipements et une unité commune. Les conversions nanoseconde, tick et octet média doivent être explicites.

Exemple numérique 29a, illustratif. Un solveur place une fin de trame à 99,9996 µs et la gate ferme à 100 µs. Un équipement dont le tick vaut 8 ns arrondit le début vers le haut et la durée vers le haut. Une marge de 0,4 ns est bien inférieure au tick et disparaît. Le certificat doit refuser une solution dont la marge encodée est négative ou inférieure au budget imposé.

11.5 Robustesse de l'installation physique#

Le déterminisme logique suppose une couche physique fonctionnelle dans son enveloppe. Les câbles, connecteurs, transceivers, alimentations et topologies doivent satisfaire les conditions environnementales et d'installation applicables au programme. Les erreurs transitoires peuvent provoquer retransmission à un niveau supérieur, perte FRER, changement de chemin ou perte de synchronisation. Le dossier réseau doit donc relier les taux d'erreur et diagnostics physiques au comportement fonctionnel.

La coexistence de débits et médias différents peut créer des asymétries. Un bridge entre 100 Mbit/s et 1 Gbit/s accumule des trames lorsque plusieurs entrées rapides convergent vers une sortie lente. Une liaison optique et une liaison cuivre redondantes offrent une diversité physique, mais leurs délais et procédures de maintenance diffèrent. Une preuve de disjonction doit inclure les faisceaux, passages, alimentations et points de fixation, pas seulement le graphe logique.

11.6 Modifications et impact analysis#

Une modification de stream peut déplacer des fenêtres de nombreux flux. L'impact analysis doit être structurelle. Une modification de taille affecte la sérialisation, la fenêtre, le policing, le backlog, FRER et éventuellement les gardes. Une modification de route affecte la charge de chaque coupe et la disjonction. Une modification d'horloge affecte toutes les classes planifiées du domaine.

Nous définissons le cône d'impact d'une propriété \(q\) comme l'ensemble des objets atteignables dans le graphe de dépendance configuration-preuve :

\[I(q)=\{v\mid q\leadsto v\}.\]

Le graphe doit être conservateur. Son intérêt est de permettre une régression ciblée sans déclarer arbitrairement que le reste du dossier est inchangé. Les propriétés globales, telles que la capacité d'un lien ou l'unicité des identifiants, restent toujours recalculées.

Bonnes pratiques. Versionner ensemble exigences, topologie, contrats, modèle d'équipement, résultat du solveur, certificat, image binaire, signature et résultats d'essai. Une image sans provenance ne permet pas de reconstruire la preuve qui l'a autorisée.

12. Étude quantitative et protocole expérimental#

12.1 Statut des valeurs#

Cette section ne présente aucun résultat de vol, aucune mesure constructeur et aucune performance certifiée. Elle définit un scénario de dimensionnement reproductible destiné à comparer les méthodes. Les valeurs sont des hypothèses illustratives annoncées comme telles. Toute conclusion industrielle exigerait de remplacer ces hypothèses par les contrats d'un programme, les caractéristiques vérifiées des équipements et des mesures sur banc représentatif.

Le scénario comprend 240 end systems, 24 bridges, 3 200 flux logiques et deux plans de réseau physiquement séparés. Parmi les flux, 800 sont cycliques critiques, 400 sont des événements à deadline, 1 200 sont des données de monitoring et 800 appartiennent à la maintenance ou à la mission. Cette composition ne représente pas un avion nommé. Elle donne une échelle suffisante pour tester la génération de configuration, l'analyse de pire cas et la robustesse.

12.2 Métriques#

La comparaison doit éviter une erreur classique : mesurer la moyenne TSN contre la borne analytique AFDX. Les deux architectures doivent être évaluées avec des métriques homogènes. Nous retenons la latence maximale observée, la borne analytique, la gigue pic à pic, le backlog maximal, le taux de deadline manquée sous fautes injectées, la charge CPU d'émission et réception, la mémoire de tables, le temps de génération, le temps de vérification, la couverture des configurations et la disponibilité fonctionnelle.

Pour un ensemble de mesures \(d_{f,k}\), la gigue observée est

\[J_f^{obs}=\max_k d_{f,k}-\min_k d_{f,k}.\]

Elle ne constitue pas une borne si l'espace des phases, bursts et fautes n'a pas été couvert. Une borne analytique \(D_f^{ana}\) peut être comparée au maximum observé par un facteur de pessimisme

\[P_f=\frac{D_f^{ana}}{\max_k d_{f,k}},\]

à condition de ne jamais conclure que \(D_f^{ana}\) est valide parce que \(P_f\geq1\). La validité provient du modèle et de ses hypothèses, pas de l'absence de contre-exemple expérimental.

12.3 Calcul de capacité#

Pour un flux périodique \(f\) de taille média \(L_f\), période \(T_f\) et facteur de réplication \(r_f\), le débit réservé élémentaire est

\[b_f=r_f\frac{8L_f}{T_f}.\]

La charge d'un lien \(e\) vaut \(U_e=\sum_{f:e\in p_f}b_f/C_e\). Cette métrique moyenne est nécessaire mais insuffisante. La fenêtre ou le service doit également absorber les bursts et les phases. Le dimensionnement conserve donc simultanément \(U_e\), le backlog borné et les contraintes de calendrier.

Exemple numérique 30, illustratif. Huit cents flux critiques transportent chacun 256 octets toutes les 10 ms et sont répliqués sur deux plans. Le débit agrégé par plan est \(800\times256\times8/0,01=163,84\) Mbit/s avant overhead. Ils ne tiennent pas sur un unique lien AFDX de 100 Mbit/s, mais peuvent être répartis sur plusieurs branches. Sur un trunk 1 Gbit/s, la charge utile serait 16,384 %.

Exemple numérique 31, illustratif. Quatre cents alertes ont chacune un contrat de burst de deux trames de 512 octets par 100 ms. Le débit moyen agrégé n'est que 16,384 Mbit/s. Si toutes les alertes peuvent survenir ensemble, le burst vaut 409 600 octets, soit 3,2768 ms de sérialisation à 1 Gbit/s. L'hypothèse de corrélation domine le débit moyen.

Exemple numérique 32, illustratif. Un lien 1 Gbit/s réserve 35 % aux fenêtres critiques, 20 % aux événements, 25 % aux capteurs et 10 % à la maintenance, avec 10 % de gardes et gestion. Les débits bruts correspondants sont 350, 200, 250 et 100 Mbit/s. Si la préemption réduit les gardes de 10 % à 4 %, 60 Mbit/s deviennent réallouables, mais la preuve du merge devient une nouvelle condition.

12.4 Comparaison de latence#

Le modèle AFDX rate-constrained peut produire une attente plus répartie entre les sauts. Qbv peut concentrer l'attente au premier saut ou à une fenêtre manquée. ATS peut lisser le burst à chaque nœud. Il est donc trompeur de comparer uniquement la latence minimale. La distribution, la borne et les modes de faute doivent être observés.

Exemple numérique 33, illustratif. Un chemin AFDX de quatre liens présente 4 sérialisations de 124 µs, 3 résidences de 20 µs, 420 µs d'attente bornée et 160 µs d'end systems, soit 1,136 ms. Un chemin TSN 1 Gbit/s présente 4 sérialisations de 12,4 µs, 3 résidences de 8 µs, 180 µs d'attente planifiée et 160 µs d'end systems, soit 413,6 µs. Ces nombres ne valident pas TSN : ils montrent la décomposition à reproduire avec des données cibles.

Exemple numérique 34, illustratif. Le même flux TSN arrive 2 µs après sa première gate et attend un cycle de 1 ms. Sa latence passe à environ 1,414 ms et devient supérieure au cas AFDX illustratif. La maîtrise de release est donc une hypothèse de premier ordre.

12.5 Comparaison de gigue#

Exemple numérique 35, illustratif. Une émission planifiée varie de 402 à 418 µs, soit 16 µs de gigue observée. Un flux AFDX comparable varie de 780 à 1 090 µs, soit 310 µs. Si une faute d'horloge fait manquer une gate une fois, la gigue TSN devient au moins 1 016 µs. Le percentile nominal ne doit donc pas masquer le mode dégradé.

12.6 CPU, mémoire et disponibilité#

L'augmentation du débit peut accroître le nombre d'interruptions si le coalescing, le polling ou l'offload ne sont pas conçus pour le temps réel. Les fonctions Qci, FRER, MACsec et timestamping consomment des tables et de l'état. Une comparaison honnête inclut la mémoire des règles, les compteurs, les séquences de récupération et la charge du plan de management.

Exemple numérique 36, illustratif. Une entrée de stream occupe hypothétiquement 96 octets de règle, 32 octets de compteur et 64 octets d'état FRER. Pour 3 200 streams, le total logique est 614 400 octets. Avec deux banques atomiques active et future, il devient 1 228 800 octets, avant index, alignement et buffers. Seule la mesure du composant cible fournit la valeur réelle.

Exemple numérique 37, illustratif. Un end system traite 20 000 trames/s. À 2,5 µs de CPU par trame, la charge est 50 ms/s, soit 5 % d'un cœur. Un mécanisme de sécurité ajoutant 1 µs porte la charge à 7 %. Cette estimation linéaire doit être testée, car caches, DMA et contention mémoire peuvent produire des non-linéarités.

Exemple numérique 38, illustratif. Deux chemins indépendants ont chacun une disponibilité de 0,9999 sur l'intervalle étudié. La disponibilité parallèle idéale est \(1-(10^{-4})^2=0,99999999\). Avec une indisponibilité commune de \(2\times10^{-5}\), l'ordre de grandeur est ramené près de 0,99998. La diversité des plans et du temps est plus importante que le seul nombre de copies.

12.7 Plan d'essais#

Le protocole comprend une campagne nominale, un balayage exhaustif des phases pour les petits cas, une génération aléatoire contrainte pour les grands cas, des bursts synchronisés, une saturation de maintenance, des pertes de lien, des corruptions de table, une perte de Grandmaster, un saut de temps, un bridge lent, une réplication réordonnée et une mise à jour partielle de GCL. Les résultats doivent conserver la configuration, les seeds, les traces, les versions matérielles et les incertitudes de mesure.

Limites. Même un banc exhaustif sur une configuration ne prouve pas toutes les configurations futures. La génération, la vérification indépendante et le contrôle de version doivent empêcher qu'un changement sorte silencieusement de l'enveloppe analysée.

12.8 Reproductibilité et séparation des résultats#

Le banc doit produire trois catégories de résultats. Les résultats analytiques proviennent du modèle et portent des bornes sous hypothèses. Les résultats expérimentaux proviennent d'une cible et portent sur les cas exécutés. Les résultats de simulation explorent des scénarios dont la fidélité dépend du modèle. Les confondre crée soit une fausse confiance dans les mesures, soit un pessimisme analytique non expliqué.

Chaque campagne doit être liée à un paquet reproductible contenant la topologie, les contrats de flux, les images de configuration, la version du firmware, les paramètres d'horloge, les scripts d'injection, les seeds, les traces brutes et le calcul d'incertitude. Les données sensibles d'un programme peuvent empêcher une publication ouverte, mais l'organisation interne doit tout de même assurer la reconstruction.

Le balayage de phases est prioritaire pour Qbv. Si un flux de période \(T_f\) rencontre un cycle \(T_c\), le motif se répète au plus après le PPC lorsque les périodes sont rationnelles dans l'unité du système :

\[H=\operatorname{ppcm}(T_f,T_c).\]

Pour plusieurs périodes, l'hyperpériode peut devenir impraticable. Il faut alors employer réduction par classes de phase, analyse symbolique ou bornes de service plutôt qu'une simulation complète. Le choix de réduction devient lui-même un objet de justification.

Exemple numérique 38a, illustratif. Des périodes de 4, 5, 8 et 10 ms ont une hyperpériode de 40 ms. Ajouter un flux de 17 ms porte le PPC à 680 ms. Avec un pas de 1 µs, un balayage direct passe de 40 000 à 680 000 positions avant combinaison des phases de plusieurs flux.

12.9 Critères de falsification#

Une recherche utile doit indiquer ce qui réfuterait ses hypothèses. Le cadre de migration est mis en défaut si une configuration conforme aux cinq contrats produit une deadline manquée sans violation détectable, si le checker accepte une GCL impossible à encoder, si une faute unique de temps compromet simultanément les deux plans supposés indépendants, ou si le plan de secours nécessite une ressource non réservée.

Les critères de succès doivent être établis avant l'essai. Déplacer un seuil après observation transforme la campagne en exploration, ce qui peut être utile, mais ne constitue pas une vérification de conformité.

13. IMA, virtualisation et partage des E/S#

13.1 Partitionnement temporel et réseau#

L'IMA sépare les applications de la plateforme commune par des contrats de ressources et des rôles d'intégration. ARINC 653 formalise notamment le partitionnement temporel et spatial au niveau de l'environnement d'exécution. Les produits PikeOS, VxWorks 653 et INTEGRITY-178 sont des exemples industriels de plateformes destinées aux systèmes critiques, avec des périmètres et preuves propres à leurs versions et programmes. Leur nom ne constitue jamais une preuve de conformité d'une intégration particulière.

Si une partition productrice s'exécute dans \([r_p,c_p]\) et sa gate réseau dans \([o_f,c_f]\), il faut garantir que le message est prêt avant \(o_f\), avec la marge de copie et de pile. Phasage calcul-réseau et synchronisation deviennent une seule chaîne de timing. La robustesse exige cependant que la perte de 802.1AS ne compromette pas l'ordonnanceur de partition si ce dernier possède une base de temps indépendante.

Exemple numérique 39, illustratif. Une major frame de 20 ms donne 4 ms à une partition de navigation. La tâche termine entre 2,8 et 3,4 ms. Une gate ouvre à 3,6 ms pendant 200 µs. La marge minimale de production est 200 µs. Si une copie mémoire de pire cas utilise 90 µs et le budget d'horloge 60 µs, il ne reste que 50 µs de marge.

13.2 Hyperviseur et chemins d'E/S#

Un hyperviseur introduit une couche d'allocation CPU, mémoire, interruption et périphérique. Pour un flux réseau, la chaîne peut inclure application, partition, driver virtuel, backend, hyperviseur, IOMMU, NIC et switch. Le déterminisme exige une borne pour chaque transition, mais aussi pour les interférences de cache, mémoire et interruption.

Les migrations et snapshots sont particulièrement sensibles. Une live migration généraliste modifie l'emplacement, le chemin réseau, la localité NUMA et le temps d'arrêt d'une charge. Pour une fonction critique, ces variables doivent être entièrement bornées et préqualifiées, ce qui réduit fortement le caractère dynamique. Un snapshot peut restaurer un compteur FRER, une clé, un nonce ou un état temporel ancien. Le rollback doit donc être interdit ou accompagné de mécanismes de monotonie externes.

13.3 SR-IOV, VFIO et IOMMU#

SR-IOV peut offrir des fonctions virtuelles distinctes, mais le datapath interne de la NIC, le scheduler, les buffers et la fonction physique restent souvent partagés. VFIO et l'IOMMU contrôlent l'accès DMA d'un domaine logiciel ; ils ne créent pas une indépendance temporelle dans le périphérique. La preuve doit couvrir l'isolation spatiale, la limitation DMA, les interruptions, le reset, le partage de bande passante et les fautes du firmware de NIC.

Exemple numérique 40, illustratif. Quatre fonctions virtuelles disposent chacune d'un quota de 200 Mbit/s sur un port 1 Gbit/s. Les 200 Mbit/s restants sont réservés à la garde et au management. Si le scheduler interne traite des bursts de 64 kB par fonction, une VF peut occuper environ 524 µs à 1 Gbit/s avant arbitrage. Un quota moyen ne suffit donc pas ; le burst matériel doit être borné.

Certification. La certification d'un hyperviseur ou d'un RTOS dans un contexte antérieur ne se transfère pas automatiquement à une nouvelle NIC, un nouveau chemin DMA ou une nouvelle configuration TSN. Le crédit réutilisable dépend du périmètre réellement inchangé et des hypothèses d'intégration.

14. Architecture fédérée de calcul distribué#

14.1 Proposition de recherche#

Cette section est prospective. Elle ne décrit ni une architecture certifiée existante, ni un mécanisme imposé par IEEE 802.1DP. Elle examine si les principes d'un cluster distribué peuvent être restreints jusqu'à devenir compatibles avec le déterminisme et l'assurance avioniques.

L'architecture proposée associe des nœuds autonomes qualifiés, un catalogue immuable de charges, des plans d'allocation préparés hors ligne et un protocole de sélection borné. Chaque fonction critique possède un ensemble fini de nœuds candidats, des budgets CPU et mémoire, des routes TSN, des fenêtres et des états de reprise prévalidés. Le plan de contrôle ne construit pas arbitrairement une solution en vol. Il sélectionne un plan dans un ensemble signé.

14.2 Consensus et plan de contrôle#

Un consensus distribué classique vise la cohérence malgré des pannes de nœuds et des délais variables. Dans une architecture critique temps réel, l'absence de décision peut être préférable à une décision tardive non bornée. Le protocole doit donc posséder des timeouts calculés, des quorums fixes, des époques monotones et un état sûr en cas de partition réseau.

Nous définissons un plan \(P_k\) par

\[P_k=(A_k,S_k,R_k,G_k,K_k,V_k),\]

où \(A_k\) est l'allocation des applications, \(S_k\) l'ordonnancement CPU, \(R_k\) les routes, \(G_k\) les GCL, \(K_k\) les identités ou clés applicables et \(V_k\) la version monotone. Une transition \(P_i\rightarrow P_j\) n'est autorisée que si elle figure dans le graphe de transitions vérifié et si les préconditions de santé sont satisfaites.

SELECTION_PLAN(epoch, health_vector, current_plan):
    candidates = authorized_successors(current_plan)
    candidates = filter_by_prevalidated_health(candidates, health_vector)
    if candidates is empty:
        enter_safe_degraded_state()
    proposal = deterministic_minimum(candidates)
    votes = collect_fixed_quorum(proposal, epoch, bounded_timeout)
    if quorum_is_valid(votes):
        activate_at_signed_global_time(proposal)
    else:
        retain_or_degrade_according_to_current_plan()

Exemple numérique 41, illustratif. Cinq nœuds de contrôle utilisent un quorum de trois. Deux pannes franches laissent un quorum possible. Une partition 2+3 donne l'autorité au groupe de trois si les identités, l'époque et le plan sont valides. La disponibilité de la décision ne prouve pas que les ressources du groupe majoritaire suffisent pour toutes les fonctions ; cette capacité doit être préallouée dans le plan.

14.3 Failover déterministe#

Le failover comporte détection, décision, activation, restauration d'état et reprise des communications. Pour une fonction \(f\), le temps de rétablissement est

\[T_{rec,f}=T_{det}+T_{cons}+T_{act}+T_{state}+T_{net}.\]

Chacun de ces termes doit avoir une borne. Un redémarrage automatique n'est pas une stratégie de sûreté s'il peut répéter indéfiniment une faute déterministe. Le plan doit limiter le nombre de tentatives et choisir un état dégradé.

Exemple numérique 42, illustratif. Un moniteur détecte une panne en 30 ms, le quorum décide en 15 ms, l'activation de partition prend 20 ms, la restauration d'un état validé 25 ms et la bascule réseau 10 ms. La reprise est bornée à 100 ms. Si l'exigence fonctionnelle est 80 ms, l'architecture est invalide malgré une disponibilité statique élevée.

Exemple numérique 43, illustratif. Une charge critique utilise 35 % d'un cœur et 64 MiB. Le nœud de secours maintient 40 % de CPU et 80 MiB réservés. La marge CPU est 5 points et la marge mémoire 16 MiB. Une fonction non critique ne peut consommer ce résidu que si un mécanisme de reclaim borné libère les ressources avant les 20 ms d'activation supposées.

14.4 État, stockage et reprise#

Une fonction sans état est plus simple à déplacer qu'une fonction participant à une boucle. Pour les états critiques, trois stratégies existent : réplication active, checkpoint périodique borné ou reconstruction à partir des capteurs. Chacune possède un âge maximal de l'état. Les snapshots généralistes sont inadaptés s'ils capturent des timers, séquences réseau ou clés sans protocole de cohérence.

14.5 Effets sur certification, énergie et maintenance#

La fédération peut améliorer la tolérance à une panne de nœud et l'utilisation des ressources, mais elle agrandit l'espace d'états. Le gain énergétique potentiel d'une consolidation doit être comparé au coût des réserves chaudes, du plan de contrôle et du réseau. La maintenance peut bénéficier d'un manifeste unique et de diagnostics corrélés, mais une erreur de manifeste peut devenir systémique. La stratégie acceptable consiste à limiter la dynamique, partitionner l'orchestrateur et vérifier indépendamment chaque plan.

Limites. Kubernetes est un point de comparaison conceptuel pour la découverte, le placement, la santé et le failover. Son modèle opérationnel, ses mises à jour fréquentes, ses contrôleurs extensibles et son scheduling opportuniste ne constituent pas une base directement acceptable pour une fonction DAL-A. La proposition conserve des concepts, pas l'implémentation.

14.6 Analyse formelle de l'espace de plans#

La restriction à un ensemble fini de plans rend possible une vérification qui serait hors de portée avec un placement libre. Le graphe de transition \(\mathcal{G}_P=(\mathcal{P},\mathcal{T})\) contient les plans autorisés et les transitions. Pour chaque plan, les propriétés réseau et calcul sont vérifiées statiquement. Pour chaque transition, il faut vérifier la compatibilité de l'état source, de l'état cible et de l'intervalle pendant lequel les deux peuvent coexister.

Une propriété de sûreté peut être formulée comme un invariant \(S(P)\). La conservation lors des transitions demande

\[\forall (P_i,P_j)\in\mathcal{T},\quad S(P_i)\land Pre_{ij}\Rightarrow S_{trans}(P_i,P_j)\land S(P_j).\]

\(S_{trans}\) couvre l'état intermédiaire, souvent oublié. Pendant un failover, l'ancienne instance peut encore émettre tandis que la nouvelle démarre. Il faut empêcher deux talkers non coordonnés d'utiliser la même identité ou accepter explicitement une période active-active avec élimination et règles d'état.

Liveness et safety doivent rester distinctes. Un protocole qui refuse toute transition lorsque les preuves manquent préserve la sûreté mais peut perdre une fonction. Un protocole qui choisit toujours un plan améliore la disponibilité mais peut violer une allocation. Le safety assessment détermine quel état dégradé est acceptable pour chaque fonction.

14.7 Découverte et identité des nœuds#

La découverte n'est pas une recherche libre sur le réseau. Chaque nœud possède une identité attendue, un type matériel, un firmware autorisé, des ports, un domaine temporel et une liste de rôles. Au démarrage, le plan de contrôle vérifie la présence et la version. Un nœud inconnu reste isolé. Un nœud connu mais dans une version incompatible ne peut recevoir un rôle critique.

L'attestation matérielle pourrait contribuer à cette décision, mais son intégration est une piste de recherche. Elle doit être compatible avec le démarrage hors ligne, la disponibilité des clés, la durée de vérification et la gestion de composants remplacés en maintenance. Une attestation indique un état mesuré selon une chaîne de confiance ; elle ne prouve ni l'absence de défaut matériel ni le respect futur des deadlines.

14.8 Répartition CPU et mémoire#

Un plan contient une allocation temporelle, pas seulement un pourcentage CPU. Deux charges annoncées à 30 % peuvent interférer si leurs fenêtres se chevauchent ou si elles partagent un cache. La mémoire inclut pages, buffers réseau, tables, piles, état de reprise et marge de fragmentation. Le nœud de secours doit réserver la capacité avant la panne, ou démontrer un mécanisme de reclaim borné sur des charges non critiques.

Pour un nœud \(n\), une condition nécessaire de capacité CPU est

\[\sum_{f\in A(n)}\frac{C_f}{T_f}+U_{hyp}+U_{io}+U_{margin}\leq1,\]

où \(C_f\) est le pire temps d'exécution, \(U_{hyp}\) le coût hyperviseur, \(U_{io}\) le traitement d'E/S et \(U_{margin}\) la réserve. Cette condition n'est pas suffisante pour l'ordonnançabilité. Les priorités, fenêtres, blocages et ressources partagées doivent encore être analysés.

Exemple numérique 43a, illustratif. Trois partitions utilisent respectivement 0,22, 0,18 et 0,31 d'un cœur. L'hyperviseur et les E/S utilisent 0,08, la marge exigée 0,12. La somme vaut 0,91. Il reste 0,09 de capacité arithmétique, mais aucune nouvelle charge ne peut être admise sans analyser ses deadlines et les blocages.

14.9 Synchronisation de l'état et cohérence réseau#

La réplication d'état doit être phasée avec les fenêtres de communication. Une instance passive qui reçoit un checkpoint après sa fenêtre de validation peut conserver un état vieux d'un cycle supplémentaire. L'âge maximal de l'état au failover est la somme de la période de checkpoint, du délai réseau, de l'attente de validation et du délai de détection.

Exemple numérique 43b, illustratif. Un checkpoint est produit toutes les 20 ms, livré en 2 ms, validé dans une partition qui s'ouvre toutes les 10 ms et la panne est détectée en 30 ms. Dans un alignement défavorable, l'état utilisé peut avoir près de 20+2+10+30=62 ms. Si la fonction tolère seulement 40 ms, le plan actif-passif est insuffisant.

14.10 Programme de validation de la proposition#

La validation doit progresser en quatre étapes. La première utilise un modèle formel du graphe de plans et vérifie invariants, absence de split-brain et monotonie des époques. La deuxième exécute un prototype sur un petit cluster avec TSN simulé, en distinguant clairement la simulation. La troisième emploie des bridges et NIC réels, des timestamps matériels et des injections de panne. La quatrième construit un cas d'assurance limité pour une fonction non critique, afin d'évaluer le coût réel des artefacts.

Les critères ne sont pas seulement la latence. Il faut mesurer le nombre de plans, le temps de vérification, le volume de preuves modifiées par transition, la couverture de fautes, la capacité de diagnostic et la complexité du code de contrôle. Une architecture qui gagne 10 % de CPU mais multiplie par cent l'espace de certification peut être défavorable.

15. Réseaux et calcul avioniques futurs#

15.1 Débits supérieurs et photonique#

Les PHY Ethernet à 25 et 100 Gbit/s sont établis dans les standards et les centres de données, mais leur adoption aérospatiale dépend de la consommation, de la compatibilité électromagnétique, de la masse, du refroidissement, de la connectique, de l'environnement et de l'assurance. Un lien plus rapide raccourcit la sérialisation et peut transporter radar, vidéo et données de mission. Il ne supprime pas l'admission, le shaping ou la séparation.

La photonique peut réduire certaines contraintes de masse et d'immunité électromagnétique, mais introduit des composants, connecteurs, budgets optiques et modes de défaillance spécifiques. Son emploi doit être présenté comme une trajectoire d'intégration matérielle, pas comme une propriété de TSN.

Exemple numérique 44. Une trame de 1 500 octets demande 12 µs à 1 Gbit/s, 480 ns à 25 Gbit/s et 120 ns à 100 Gbit/s, hors overhead. À ces débits, la résidence, les files, le timestamping et les interfaces mémoire peuvent dominer la sérialisation.

15.2 FPGA et accélération#

Les FPGA peuvent implémenter timestamping, Qci, FRER, chiffrement ou prétraitement capteur avec des pipelines bornés. Leur flexibilité ne réduit pas l'assurance nécessaire. La configuration logique, les blocs tiers, les chemins de timing, le reset et les erreurs de conception doivent être traités dans le processus matériel applicable. Une accélération partageant mémoire ou interconnect avec plusieurs partitions peut devenir une cause commune.

15.3 IA embarquée, Digital Twin et maintenance prédictive#

L'IA embarquée produit des flux volumétriques et des besoins de calcul variables. Pour les fonctions critiques, le défi principal reste la garantie du comportement, de la disponibilité des ressources et de l'intégrité des données, non le seul transport. TSN peut isoler les flux de capteurs et livrer des timestamps cohérents. Il ne résout ni la qualification du modèle, ni la couverture des données, ni la dérive en service.

Un Digital Twin peut améliorer la validation de configuration, la maintenance et l'analyse de changement si son modèle est relié aux identifiants réels des équipements et aux preuves. Il ne doit pas devenir une source non maîtrisée de reconfiguration. La maintenance prédictive peut exploiter le trafic de fond réservé, avec Qci empêchant un collecteur défaillant d'affecter les commandes.

Conclusion#

TSN constitue une évolution naturelle de l'AFDX parce qu'il reprend et généralise le problème qu'AFDX a résolu : partager Ethernet entre fonctions critiques sans abandonner les bornes. Qci prolonge le confinement des sources, Qbv et Qcr enrichissent le service temporel, Qcc formalise la configuration, 802.1CB généralise la réplication et 802.1AS permet un phasage commun. La publication d'IEEE 802.1DP / SAE AS6675 en 2025 fournit désormais un profil aérospatial normatif à cette convergence.

Cette continuité fonctionnelle ne produit aucune équivalence automatique de certification. TSN ajoute le temps global, les GCL, des chemins de configuration plus riches et une combinatoire de mécanismes. Les nouveaux risques sont la faute temporelle commune, la mise à jour partielle, l'autorité excessive du plan de contrôle, l'interaction entre disciplines et la réutilisation non démontrée de composants industriels. Le bénéfice dépend donc d'un profil volontairement réduit.

Le cadre à cinq contrats proposé dans ce papier, trafic, temps, chemin, faute et configuration, permet de comparer les architectures sans confondre débit et déterminisme. Les calculs montrent qu'un lien 1 Gbit/s réduit fortement la sérialisation mais qu'une fenêtre manquée peut annuler ce gain. La redondance améliore la disponibilité seulement si les causes communes, y compris le temps et la configuration, sont maîtrisées. La virtualisation réduit certains coûts d'intégration mais déplace les interférences vers les hyperviseurs, NIC, IOMMU et mémoires partagées.

L'architecture fédérée étudiée ouvre une perspective de recherche : sélectionner en vol un petit ensemble de plans de calcul et de communication prévalidés, plutôt que pratiquer une orchestration ouverte. Cette restriction conserve les idées utiles de découverte, consensus, failover et supervision tout en rendant l'espace d'états analysable. Elle devra être validée sur banc, avec injection de fautes, vérification indépendante des plans et démonstration de la monotonie des états.

La migration crédible sera progressive. Elle commencera par la coexistence, les flux volumétriques et les domaines moins critiques, puis avancera vers les fonctions dont l'équivalence de contrats peut être démontrée. Le succès ne se mesurera pas au nombre de fonctions TSN activées. Il se mesurera à la qualité de la traçabilité entre une exigence aéronef, une ressource réseau, une hypothèse temporelle, un comportement en faute et une preuve vérifiable.

Annexes#

Annexe A. Glossaire et abréviations#

Annexe B. Chronologie sélective#

Annexe C. Catalogue minimal d'exigences de stream#

STREAM_CONTRACT := {
    identifier,
    talker,
    listeners[],
    payload_max,
    media_size_max,
    period_or_min_interval,
    burst_max,
    release_jitter,
    deadline,
    freshness,
    criticality,
    authorized_routes[],
    redundancy_mode,
    time_domain,
    policing_action,
    degraded_mode,
    configuration_version
}

Annexe D. Propriétés à vérifier automatiquement#

1. Toute source et toute destination appartiennent au manifeste autorisé.
2. Chaque route est continue, sans boucle et compatible avec la séparation de domaines.
3. La somme des demandes et des gardes reste inférieure au service de chaque lien.
4. Chaque GCL respecte les contraintes de causalité et de non-chevauchement.
5. Chaque flux termine avant sa deadline pour toutes les phases admises.
6. Le backlog calculé tient dans les buffers réservés.
7. Le policer refuse toute arrivée hors contrat sans affecter un autre flux critique.
8. Les chemins FRER satisfont la disjonction requise et le point d'élimination est explicite.
9. La perte d'un domaine temporel produit un état dégradé défini.
10. Toute transition de configuration est atomique ou passe par un état intermédiaire sûr.
11. Les versions, clés, compteurs et époques sont monotones selon leur politique.
12. Le certificat de configuration relie chaque propriété à son exigence source.

Annexe E. Liste structurée des standards#

Bibliographie#

[R1] IEEE 802.1, IEEE 802.1DP-2025 / SAE AS6675, TSN Profile for Aerospace Onboard Ethernet Communications, page officielle du projet et statut de publication, 2025. https://1.ieee802.org/tsn/802-1dp/

[R2] IEEE 802.1, Publication of IEEE Std 802.1DP-2025, 7 novembre 2025. https://1.ieee802.org/publication-ieee-802-1dp-2025/

[R3] Federal Aviation Administration, Advisory Circular AC 20-156, Aviation Databus Assurance, 2006. https://www.faa.gov/documentLibrary/media/Advisory_Circular/20-156.pdf

[R4] SAE International, ARP4754B, Guidelines for Development of Civil Aircraft and Systems, 20 décembre 2023. https://saemobilus.sae.org/standards/arp4754-certification-considerations-highly-integrated-complex-aircraft-systems

[R5] SAE International, ARP4761A, Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipment, 20 décembre 2023. DOI : https://doi.org/10.4271/ARP4761A

[R6] IEEE Standards Association, IEEE 802.1CB-2017/Cor 1-2026, Frame Replication and Elimination for Reliability, Corrigendum 1, 2026. https://standards.ieee.org/ieee/802.1CB-2017_Cor_1/11528/

[R7] IEEE 802.1, IEEE 802.1AS, Timing and Synchronization for Time-Sensitive Applications, page officielle. https://www.ieee802.org/1/pages/802.1as.html

[R8] IEEE Standards Association, Standards Board Approvals, 12 February 2026, mention d'IEEE 802.1ASed-2026, Fault-Tolerant Timing with Time Integrity. https://standards.ieee.org/about/sasb/sba/12feb2026/

[R9] IEEE Standards Association, IEEE 802.1Qci-2017, Per-Stream Filtering and Policing. https://standards.ieee.org/ieee/802.1Qci/6159/

[R10] IEEE Standards Association, IEEE 802.1CB-2017, Frame Replication and Elimination for Reliability. https://standards.ieee.org/ieee/802.1CB/5703/

[R11] RTCA, Security Publications, DO-326A, DO-355A et DO-356A. https://www.rtca.org/security/

[R12] EASA, AMC 20-42, Airworthiness Information Security Risk Assessment, dans Easy Access Rules for AMC-20, références ED-202A/DO-326A et ED-203A/DO-356A. https://www.easa.europa.eu/en/document-library/easy-access-rules/online-publications/easy-access-rules-acceptable-means-1?page=21

[R13] Federal Aviation Administration, Software and Airborne Electronic Hardware, moyens de conformité et références DO-178C/DO-254. https://www.faa.gov/aircraft/air_cert/design_approvals/air_software/software_regs

[R14] Federal Aviation Administration, AC 20-115D, Airborne Software Development Assurance Using EUROCAE ED-12 and RTCA DO-178, 2017. https://www.faa.gov/regulations_policies/advisory_circulars/index.cfm/go/document.information/documentID/1032046

[R15] Federal Aviation Administration, AC 20-152A, Development Assurance for Airborne Electronic Hardware, 2022. https://www.faa.gov/regulations_policies/advisory_circulars/index.cfm/go/document.information/documentID/1041323

[R16] IEEE 802.1, IEEE 802.1Qbu, Frame Preemption, page officielle. https://www.ieee802.org/1/pages/802.1bu.html

[R17] SAE International, AS6802, Time-Triggered Ethernet, 2011. DOI : https://doi.org/10.4271/AS6802

[R18] NASA Technical Reports Server, TTEthernet for Integrated Spacecraft Networks, notice 20150002995. https://ntrs.nasa.gov/citations/20150002995

[R19] A. Loveless, On TTEthernet for Integrated Fault-Tolerant Spacecraft Networks, AIAA SPACE 2015, NASA NTRS 20150014489. https://ntrs.nasa.gov/citations/20150014489

[R20] W. Powell, NASA's Vision for Spaceflight Avionics, IEEE SMC-IT/SCC, NASA NTRS 20230009462, 2023. https://ntrs.nasa.gov/citations/20230009462

[R21] T. Zhang, G. Wang, C. Xue, J. Wang, M. Nixon et S. Han, Time-Sensitive Networking (TSN) for Industrial Automation: Current Advances and Future Directions, ACM Computing Surveys, vol. 57, no 2, article 30, 2024. DOI : https://doi.org/10.1145/3695248

[R22] IEEE 802.1, TSN Profile for Aerospace, public webinar, présentation du profil IEEE 802.1DP / SAE AS6675. https://1.ieee802.org/webinar-tsn-profile-for-aerospace/

[R23] IEEE Xplore, Worst-Case Timing Analysis of AFDX Networks With Burst-Limiting Shaper, 2018. https://ieeexplore.ieee.org/document/8442080/

[R24] IEEE Standards Association, IEEE 802.1Q, Bridges and Bridged Networks, catalogue et amendements TSN. https://standards.ieee.org/standard/802_1Q-2022.html

[R25] U.S. Department of Defense, MIL-STD-1553B, Aircraft Internal Time Division Command/Response Multiplex Data Bus, standard militaire, notice ASSIST. https://quicksearch.dla.mil/qsDocDetails.aspx?ident_number=36973

Note bibliographique#

Les textes complets d'ARINC 664 Part 7, des standards IEEE, SAE et RTCA sont généralement distribués sous licence. Les liens ci-dessus pointent vers les pages officielles, notices publiques, DOI ou documents librement accessibles. Les valeurs normatives doivent être vérifiées dans les éditions contractuellement applicables au programme. Les publications NASA et la littérature de timing fournissent des analyses de comparaison et des méthodes, mais ne remplacent pas les exigences de certification de l'installation.