Brevet FR2769104A1 — publié le 19990402

PROCÉDÉ ET DISPOSITIF POUR L'ENREGISTREMENT ET LA PROTECTION DE DONNÉES D'EVENEMENTS DE COMMANDE DE VÉHICULE La présente invention concerne les événements de commande de véhicule et plus particulièrement, l'enregistrement événements de commande de véhicule. Dans un avion, des événements de commande de véhicule sont enregistrés et stockés dans une "boite noire" à laquelle on a accès, de façon usuelle, lorsqu'un accident10 survient et qui est utilisée pour déterminer les causes de l'accident. La "boite noire" est un enregistreur de données vocales du cockpit de l'avion qui enregistre des événements verbaux. Ce type de dispositif d'enregistrement s'est avéré très utile pour déterminer si une erreur d'opérateur ou une15 panne mécanique a été la cause de l'accident. Cependant, pour des véhicules automobiles, on n'a pas développé d'enregistreur homologué événements de commande à des fins d'analyse et d'évaluation des constats sur l'accident. Lorsque des véhicules entrent en collision ou20 sont impliqués, de façon individuelle, dans des accidents, il n'existe pas de procédé disponible actuellement pour déterminer la séquence des événements de commande effectuée par l'opérateur avant, pendant et après l'accident. De façon usuelle, les services de police demandent un rapport25 sur l'accident mais un tel rapport se base en général sur la mémoire des opérateurs impliqués par l'accident et de tout témoin de l'accident. En plus d'une enquête de la police, les compagnies d'assurance du ou des véhicules impliqués peuvent interroger le ou les opérateurs et les30 témoins de l'accident. Aucune identification de fait de l'opérateur en faute ne peut souvent être déterminée par la police ou les compagnies d'assurance. 2 2769104 Il existe ainsi un besoin pour un procédé et un dispositif d'authentification et de protection de données d'événement de commande pour un véhicule. Sur les dessins: la Figure 1 est un synoptique d'un dispositif d'authentification et de protection de données d'événement de commande dans un véhicule selon la présente invention; la Figure 2 est un organigramme d'un mode de mise en oeuvre des étapes d'un procédé pour le stockage fiable de données d'événement de commande dans un véhicule selon la présente invention; la Figure 3 est un organigramme d'un mode de mise en oeuvre des étapes d'un procédé pour l'authentification des données d'impact et de l'information d'événement de15 commande dans un véhicule selon la présente invention; et la Figure 4 est un organigramme d'un mode de mise en oeuvre des étapes d'un procédé pour l'interprétation de données d'événement de commande et de données d'impact dans un véhicule selon la présente invention. La présente invention concerne un dispositif et un procédé pour l'authentification et la protection de données d'événement pour un véhicule pouvant être utilisées pour analyser les causes d'un accident par les services de police ou une compagnie d'assurance afin de les aider dans25 la détermination de la responsabilité du conducteur ou en option, de la panne d'un système électromécanique du véhicule. Le procédé et le dispositif peuvent être utilisés, de même, pour déterminer si une fausse déclaration d'assurance a été effectuée. Une30 authentification des données d'événement, telle que décrite dans notre cas, est définie par le fait de s'assurer que des données authentiques d'événement sont enregistrées en comparant des marques de temps sur les données de microcommande et les données de microprocesseur. La protection de données d'événement, telle qu'utilisée dans notre cas, est définie par la limitation de l'accès aux5données d'événement authentiques de stockage par certaines agences prédéterminées. Une authentification et une protection des données d'événement fournissent une information inviolable sur la chronologie des événements de commande. La présente invention enregistre tous les événements de commande provoqués par un conducteur et une pluralité de données concernant des agents externes. Les données concernant des agents externes peuvent comprendre par exemple la force d'impact sur une surface externe de la15 carrosserie du véhicule lors d'un accident. Des données d'événement de commande sont stockées, de façon usuelle, dans un dispositif de mémoire par une microcommande et un microprocesseur (voir les Figures 2 et 3). La microcommande suit des entrées prédéterminées générées par des événements20 de commande comme une mise en marche de feux de détresse ou le passage d'un rapport en marche arrière; le microprocesseur conserve un enregistrement des relations entre les actions du conducteur et les rétroactions générées par des transducteurs mesurant des efforts25 résultant d'impacts (par exemple des impacts sur des pare- chocs, des ailes, des portières, l'activation de coussins gonflables de sécurité, etc. lors de l'impact d'un accident). Des données sont stockées sur une base de premier entré/premier sorti. Si aucun impact ne survient30 dans une période de temps prédéterminée, sélectionnée pour maintenir le stockage des données dans les limites de la mémoire, une information de commande et des données précédentes sont simplement écrasées. En option, une initialisation de la mémoire (c'est-à-dire un effacement35 des données stockées) peut être amorcée par un utilisateur 4 2769104 autorisé. Un utilisateur autorisé est, de façon usuelle, un membre d'une compagnie d'assurance ou similaire. Dans le cas d'un impact, l'enregistrement en mémoire est protégé par le dispositif de mémoire, de façon automatique, lors de5 l'enregistrement de l'impact ou, si l'option est permise, peut être protégé, de façon manuelle, par le conducteur. Les événements enregistrés par la microcommande sont "signés" par la microcommande, c'est-à-dire qu'ils comprennent une marque de temps et une/des valeurs prédéterminées d'identification pour s'assurer que les événements enregistrés ont été produits lors du fonctionnement du véhicule spécifique. Ainsi, les données fournissent une information au microprocesseur pour une comparaison avec ses propres données signées afin de15 déterminer si les données de la microcommande sont authentiques. Par exemple, une valeur prédéterminée d'identification est un numéro d'identification de véhicule (VIN) du véhicule conduit. Le numéro d'identification de véhicule (VIN) est enregistré en conjonction avec l'information d'événement afin d'identifier le véhicule de façon unique. Une information d'événement comprend des données concernant les transducteurs lors de l'impact et une information d'événement de commande ainsi que d'autres données prédéterminées récupérées. Le véhicule peut25 supporter, de même, un mécanisme de reconnaissance et un mécanisme de préférence du conducteur permettant la détermination de la personne conduisant le véhicule lors de la période signée. Le microprocesseur possède son propre mécanisme de marquage dans le temps qui est associé aux30 capteurs externes d'impact. La combinaison de l'enregistrement d'événement et des marques dans le temps de détection d'impact peut être utilisée pour certifier que les événements ont été enregistrés au moment de l'accident. L'enregistrement protégé des événements est alors accessible, de façon sûre, par des agences comme des compagnies d'assurance automobile ou des services de police. Les agences peuvent alors analyser les données en accédant de façon sûre au dispositif de mémoire, en extrayant et en interprétant les enregistrements sécurisés.5 Comme seules les agences d'assurance et les services de police auront accès aux enregistrements sécurisés, les constats d'accident peuvent être contrôlés de façon sûre. Les services de police peuvent utiliser les données d'événement sécurisées pour déterminer la cause de10 l'accident et pour identifier le responsable. Une information stockée dans le dispositif de mémoire comprend un double enregistrement avec une différence de phase dans le temps afin de produire des enregistrements se chevauchant d'une valeur prédéterminée. De cette façon,15 lorsque le premier enregistrement est effacé et un accident survient au même instant, la partie initiale de l'enregistrement en décalage de phase est encore disponible. Un enregistrement cumulé n'est pas possible en général car une capacité non limitée de mémoire serait20 requise et une grande partie de l'enregistrement avant un impact serait, de façon usuelle, inutile. Dans un mode de mise en oeuvre, les données d'événement sont seulement lues de façon sécurisée à l'aide d'un codage et d'un cryptage à clé publique. Le mécanisme d'accès peut être mis en oeuvre25 à l'aide d'une carte à puce. Une carte à puce peut être utilisée comme mécanisme de stockage de données certifiées pouvant être enlevée du véhicule pour un traitement ultérieur à distance. La carte à puce sert de dispositif modulaire portable/amovible standard pour la facilité30 d'accès des agences autorisées. Une carte à puce contient une clé certifiable, connue seulement des agences autorisées, pouvant être authentifiée par le microprocesseur par rapport aux clés publiques de ces agences autorisées. 6 2769104 Un mécanisme de protection peut comprendre le réglage délibéré de l'horloge de temps du microprocesseur en décalage de phase avec l'horloge de temps de la microcommande selon un intervalle prédéterminé. Cette5 valeur de décalage de phase est seulement connue du système réglant le microprocesseur. Dans un mode de mise en oeuvre, l'enregistrement d'événement peut être transmis vers une position à distance (par ex., des compagnies d'assurance et des services de police) à l'aide d'un téléphone cellulaire ou d'un poste radio similaire en envoyant les données d'événement à l'aide d'un procédé de protection. Si un dispositif de fréquence radio est présent dans le véhicule, le microprocesseur peut être programmé pour appeler une banque15 de données d'une agence autorisée qui fournira des clés certifiées connues seulement de l'agence autorisée, pouvant être authentifiés par le microprocesseur par rapport aux clés publiques des agences autorisées sélectionnées. On peut utiliser un protocole de protection pour empêcher une20 réception non autorisée de l'enregistrement d'événement. Les éléments de la présente invention peuvent être mis en oeuvre sous la forme d'un module de carte à puce à contacts/sans contact, pouvant être lue à l'aide d'un lecteur de carte à puce. En option, les éléments peuvent25 être mis en oeuvre dans le circuit électronique d'un véhicule automobile. Par exemple, les composants peuvent être mis en oeuvre sous la forme d'un dispositif unitaire, une combinaison d'une microcommande et d'un module de microprocesseur sur un seul circuit intégré, associé à des30 composants, à la fois, d'entrée/sortie et de mémoire. Une troisième option utilise une mémoire de protection et un programme logiciel permettant l'utilisation de composants de microélectronique existant dans le véhicule. Le logiciel fonctionne selon le procédé décrit ci-dessous sur35 la Figure 2. Sur la Figure 1, la référence numérique 100 désigne un synoptique d'un dispositif pour l'authentification et la protection de données d'événement de commande dans un véhicule selon la présente invention. Le dispositif5 comprend: A) une microcommande, couplée pour recevoir une information d'événement de commande, pour fixer un premier marquage de temps et un numéro d'identification de véhicule (VIN) à l'information d'événement de commande afin de constituer une première information et d'envoyer la première information dans une mémoire par chevauchement dans le temps; B) la mémoire, couplée à la microcommande et à un microprocesseur, pour le stockage de la première information et d'une seconde information par chevauchement dans le temps; et C) le microprocesseur, couplé à la mémoire et à une pluralité de transducteurs, pour déterminer si des données d'impact reçues varient par rapport à des données d'impact20 précédentes, et lorsque les données d'impact reçues varient, pour ajouter un second marquage de temps et un second VIN aux données d'impact reçues afin de former une seconde information. Le dispositif comprend de même, de façon usuelle, une unité d'autoblocage couplée au microprocesseur pour envoyer un signal à la mémoire afin de bloquer la première information et la seconde information sous une forme fixée ou, en option, un blocage manuel pour envoyer un signal à la mémoire afin de verrouiller la première information et30 la seconde information sous une forme fixée. Sur la Figure 2, la référence numérique 200 désigne un organigramme d'un mode de mise en oeuvre des étapes d'un procédé pour le stockage, de façon fiable, de données d'événement de commande dans un véhicule selon la présente invention. Le procédé comprend les étapes suivantes: A) l'envoi d'une information d'événement de commande et de données en option à un microprocesseur; B) l'adjonction par5 le microprocesseur d'une première marque de temps et d'un numéro d'identification de véhicule (VIN) à l'information d'événement de commande et aux données en option pour constituer une première information et l'envoi de la première information dans une mémoire; C) le stockage de la10 première information dans une liste de la mémoire par chevauchement dans le temps T', T"; D) la détermination du fait qu'un temps prédéterminé s'est écoulé et lorsque le temps prédéterminé ne s'est pas écoulé, la détermination du fait qu'un transducteur a subi un impact; E) lorsque le15 temps prédéterminé s'est écoulé, l'envoi d'instructions à la mémoire pour démarrer une nouvelle liste par chevauchement et l'effacement d'une liste T'; F) la détermination du fait qu'il faille terminer la liste ou non; G) lorsque la liste doit être terminée, la clôture et20 la conservation de la liste; H) lorsque la liste ne peut être clôturée, le retour à l'étape A; et I) lorsque le transducteur subit un impact, l'envoi de données d'impact à un microprocesseur à un instant de l'impact Ti; J) l'ajout d'une marque de temps 2 et de VIN aux données d'impact pour25 former une seconde information et le stockage de la seconde information en mémoire; K) la conservation de la première information et de la seconde information à l'instant Ti; L) la comparaison de la marque de temps 1 de la première information avec la marque de temps 2 de la seconde30 information; la détermination du fait que la première information est sensiblement synchrone avec la seconde information dans un intervalle prédéterminé; M) lorsque la première information n'est pas synchrone avec la seconde information, le report du marquage non autorisé des35 données; et N) lorsque la première information est synchrone avec la seconde information, le stockage à la l9 fi fois de la première information et de la seconde information pour un accès autorisé à un autre instant. On génère une information d'événement de commande par suite d'actions du conducteur. Une information d'événement de commande peut comprendre une information d'accélération/décélération, une information de freinage, une mise en marche de feux de détresse, un déploiement de coussin de sécurité, un début de signal de feux clignotants, un enclenchement de marche arrière, un10 enclenchement de position de parquage, un enclenchement de frein à main et similaires. Le numéro VIN peut être des données en option envoyées à la microcommande par le véhicule. En option, le numéro VIN peut être déjà présent dans la microcommande. D'autres données en option peuvent15 comprendre par exemple un numéro d'identification personnel identifiant le conducteur du véhicule. Un stockage de la première information dans une liste de la mémoire par chevauchement dans le temps signifie un stockage d'une autre liste en décalage de phase avec la20 première liste d'un temps prédéterminé. La synchronisation entre le marquage de temps 1 et le marquage de temps 2 peut être déterminée en utilisant une valeur préétablie de marquage de temps dans le microprocesseur d'une valeur prédéterminée de telle façon25 que la différence présélectionnée de synchronisation ne soit pas connue d'une personne ou d'un dispositif non autorisé. Sur la Figure 3, la référence numérique 300 désigne un organigramme d'un mode de mise en oeuvre des étapes d'un procédé d'interprétation de données d'événement de commande et de données d'impact dans un véhicule selon la présente invention. Le procédé comprend les étapes suivantes: I 0 2769104 A) la détermination du fait qu'un accès est autorisé à des données d'impact stockées avec une marque de temps 2 et une information d'événement de commande et à des données avec une marque de temps 1 dans le véhicule; B) lorsque l'accès n'est pas autorisé, le refus de l'accès; et C) lorsque l'accès est autorisé, l'obtention de données d'impact avec une marque de temps 2 et information de données de commande et de données avec une marque de10 temps 1 et l'interprétation des données d'impact avec une marque de temps 2 et une information d'événement de commande et des données avec une marque de temps 1 pour effectuer une analyse de l'accident. Sur la Figure 4, la référence numérique 400 désigne une représentation schématique d'un axe de temps pour la génération et la maintenance d'une information d'événement de commande et de listes de données en option dans la mémoire selon la présente invention. A l'instant T1 illustrant le début d'un événement initial de commande, on20 démarre une liste 1. Après un intervalle prédéterminé, c'est-à-dire un temps T2, on démarre une seconde liste. A un instant T3, on démarre une troisième liste; à cet instant, la liste 1 est effacée. Ce processus est répété jusqu'à la fin d'une information d'événement de commande et25 d'une génération des données, comme illustré sur la Figure 2. L'intervalle prédéterminé est (T1, T2) = (T2, T3) = (T3, T4) =... Lorsque l'information d'événement de commande et la génération des données sont terminées, on conserve l'information d'événement de commande et les données. Par30 exemple, comme illustré sur la Figure 4, lorsqu'un transducteur subit un impact, l'instant est Ti. Les données 402 entre les instants T2 et Ti dans la liste 2 et les données entre T3 et Ti dans la liste 3 sont préservées et sauvegardées en mémoire. Lorsqu'on coupe l'allumage, les données seront préservées et sauvegardées d'une façon similaire. La présente invention peut être mise en oeuvre sous d'autres formes spécifiques sans sortir de son esprit ou de ses caractéristiques essentielles. Les modes de mise en oeuvre décrits doivent être considérés sous tous les aspects à titre illustratif seulement et non restrictif. La portée de l'invention est par conséquent définie par les revendications annexées plutôt que par la description10 précédente. Toute variante entrant dans l'esprit et le cadre des revendications doit être considérée comme faisant partie de leur portée. REVENDICATIONS 1. Dispositif pour la validation et la protection de données d'événement de commande pour un véhicule, caractérisé par: A) une microcommande (104), couplée pour recevoir une information d'événement de commande, pour fixer un premier marquage de temps et un numéro d'identification de véhicule (VIN) à l'information d'événement de commande afin de constituer une première information et d'envoyer la première information dans une mémoire (106) par chevauchement dans le temps; B) la mémoire (106), couplée à la microcommande (104) et à un microprocesseur (108), pour le stockage de la première information et d'une seconde information par15 chevauchement dans le temps; et C) le microprocesseur (108), couplé à la mémoire (106) et à une pluralité de transducteurs (110), pour déterminer si des données d'impact reçues varient par rapport à des données d'impact précédentes, et lorsque les20 données d'impact reçues varient, pour ajouter un second marquage de temps et un second VIN aux données d'impact reçues afin de former une seconde information. 2. Dispositif selon la revendication 1, caractérisé en ce qu'il comprend, de plus, une unité d'auto-blocage (112) couplée au microprocesseur (108) pour envoyer un signal à la mémoire (106) afin de verrouiller la première information et la seconde information sous une forme fixée. 3. Dispositif selon la revendication 1, caractérisé en ce qu'il comprend, de plus, un blocage manuel (114) pour envoyer un signal dans la mémoire (106) 13' afin de verrouiller la première information et la seconde information sous une forme fixée. 4. Procédé pour la validation et la protection de données d'événement de commande pour un véhicule, caractérisé par les étapes suivantes: A) l'envoi (204) d'une information d'événement de commande et de données à une microcommande; B) l'adjonction (206) par la microcommande d'un premier marquage de temps et d'un numéro d'identification de véhicule (VIN) à l'information d'événement de commande et aux données pour constituer une première information et l'envoi de la première information dans une mémoire; C) le stockage (208) de la première information dans une liste de la mémoire par chevauchement dans le temps; D) la détermination (210, 216) du fait que: un allumage d'un véhicule est en position OFF et un temps prédéterminé s'est écoulé, et lorsque l'allumage est ON et le temps prédéterminé n'est pas écoulé, la détermination du fait qu'un quelconque autre événement de commande a eu20 lieu; E) lorsqu'un autre événement de commande a eu lieu, le retour à l'étape A; F) lorsqu'un autre événement de commande n'a pu survenir, l'arrêt; G) lorsque l'allumage est en position OFF et le temps prédéterminé s'est écoulé, l'envoi (212) d'instructions à la mémoire pour commencer une nouvelle liste par chevauchement; H) la détermination du fait qu'un autre événement de commande a eu lieu; 14 2769104 I) lorsqu'un autre événement de commande a eu lieu, le retour à l'étape A (217); et J) lorsqu'un autre événement de commande n'a pu avoir lieu, l'arrêt (215). 5. Procédé pour la validation de données d'impact et d'une information d'événement de commande dans un véhicule, caractérisé par les étapes suivantes: - lors d'un impact sur des transducteurs: A) l'envoi de données d'impact dans un microprocesseur (218); B) la détermination (220) du fait que les données d'impact varient et lorsque les données d'impact ne peuvent varier, l'arrêt et lorsque les données d'impact varient, l'ajout d'une marque de temps 2 et d'un numéro15 d'identification de véhicule aux données d'impact afin de former une seconde information et le stockage de la seconde information en mémoire; C) la détermination (220, 222) du fait qu'un verrouillage manuel est utilisé, et: - lorsque le verrouillage manuel est utilisé, l'utilisation du verrouillage manuel pour conserver la seconde information inchangée en mémoire; et - lorsqu'un verrouillage manuel ne peut être utilisé, l'utilisation d'un verrouillage automatique pour conserver la seconde information inchangée en mémoire; D) l'obtention (224) d'une première information sur des événements de commande et des données, et la comparaison avec la seconde information; $15 E) la détermination (226) du fait que la première information et la seconde information sont synchronisées; F) lorsque la première information et la seconde information ne peuvent être synchronisées, le rapport (228) de données/marquage non validés; et G) lorsque la première information et la seconde information sont synchronisées, le stockage (230) de la première information et de la seconde information en mémoire. 6. Procédé d'interprétation de données de commande et de données d'impact dans un véhicule pour effectuer l'analyse d'un accident, caractérisé par les étapes suivantes: A) la détermination (302) du fait qu'un accès est autorisé à des données d'impact stockées avec une marque de temps 2 et une information d'événement de commande et à des données avec une marque de temps 1 dans le véhicule; B) lorsque l'accès n'est pas autorisé, le refus (304) de l'accès; et C) lorsque l'accès est autorisé, l'obtention (306) de données d'impact avec une marque de temps 2 et une information d'événement de commande et de données avec une marque de temps 1 et l'interprétation des données d'impact avec une marque de temps 2 et une information d'événement25 de commande et des données avec une marque de temps 1 pour effectuer une analyse de l'accident.