Brevet FR2857315A1 — publié le 20050114

SYSTEME PASSIF ET SECURISE DE CONTRâLE D'UTILISATION D'UN VEHICULE OU D'UN APPAREIL, QUI VERIFIE DES CONDITIONS DE SECURITE AINSI QUE LA PRESENCE D'UN BADGE RADIOFREQUENCE APPARIE DANS UN PERIMETRE DEFINI. Glossaire TK TwinKey Nom de l'invention, peut s'appliquer à tout élément constituant le procédé ou le dispositif. AM Amplitude Modulation Procédé radiofréquence de transmission d'information par modulation d'amplitude d'un signal à fréquence fixe. FM Frequency Modulation Procédé radiofréquence de transmission d'information par modulation de fréquence d'un signal autour d'une fréquence de référence appelée PORTEUSE. Conventions de vocabulaire Centrale de Contrôle: en l'absence de précision, concernant le caractère principal ou secondaire, une Centrale de Contrôle pourra indifféremment être principale ou secondaire. Utilisateur autorisé : Personne habilitée à utiliser le système protégé par le TwinKey. Systèmes appariés: Systèmes distincts partageant un secret commun leur permettant de s'authentifier de façon sûre, et pouvant communiquer par lien sécurisé après authentifications mutuelles. Badge TK: élément électronique, porté par l'utilisateur autorisé, apparié à une unique centrale de contrôle principale, et pouvant être également apparié à une ou plusieurs centrales de contrôle secondaires avec des secrets partagés Scanner, scruter processus d'espionnage et de capture de signaux radiofréquence. Challenge-Response: défi de répondre correctement à une question. Au cours du processus d'authentification de B par A, A soumet à B une question ( challenge ) et attend en retour une réponse ( response ) qui prouvera l'authenticité de B. INTRODUCTION La présente invention concerne un procédé et un dispositif de contrôle d'accès et de droit d'utilisation d'un véhicule et/ou d'un appareil. Ce procédé est assuré par une architecture distribuée communiquant par liens radiofréquences sécurisés qui vérifie la présence et la validité d'un lien entre une centrale de contrôle et un badge approprié (dans une zone de couverture adaptée aux circonstances d'utilisation.). Elle trouvera particulièrement son application dans le domaine de la protection des véhicules contre le vol par ruse ou par agression mais de par son universalité ne pourrait être limité à cette application. ANTERIORITE L'état de la technique peut être défini par le document US5349329 qui propose un procédé de protection contre le vol par ruse ou par agression avec extraction par lien unidirectionnel entre le porteur d'un émetteur radiofréquence à portée limitée et le récepteur correspondant dans le véhicule, qui empêche l'utilisation de ce dernier lorsque l'arrêt de la réception dépasse un temps prédéfini. Le procédé existant utilise un type de protection qui comporte de nombreuses limitations en terme de sécurité et de robustesse par rapport au piratage, en particulier du fait du caractère unidirectionnel entre le badge et le contrôleur du véhicule. L'émetteur du procédé existant est unidirectionnel. Ne pouvant recevoir un accusé de réception du signal, l'émetteur doit transmettre son code de façon continue, qu'il soit à proximité ou non du système à contrôler. Ceci implique une forte vulnérabilité face à l'espionnage et au piratage. En effet, le code transmis peut être scanné et récupéré en permanence à proximité du porteur du badge. De plus le code de déverrouillage est toujours identique, donc réutilisable tel quel à des fins de piratage. De même le fait que l'émetteur portable doive fonctionner en permanence, même si le véhicule n'est pas utilisé pendant de longues périodes (plusieurs semaines de vacances ou d'absence), implique une consommation constante et inutile d'énergie, ce qui limite l'autonomie, et nécessite le remplacement régulier de la source d'énergie. Les télécommandes ou badges conventionnels tels qu'utilisés dans le procédé existant sont démontables, ne serait-ce que pour renouveler la source d'énergie. Ils peuvent donc être reproduits ou modifiés en particulier au niveau de leur code secret, lorsqu'il est assigné par des contacts ou des lignes de conducteurs coupés ou laissés continus pour former la combinaison de code. Cela signifie en particulier qu'un acheteur mal intentionné A, ayant acheté un système de protection du même modèle qu'un autre utilisateur B, pourra scruter les messages émis et reçus par l'utilisateur B lors du fonctionnement normal de son système de protection. Par la suite, l'utilisateur A pourra modifier son badge en fonction des données scrutées auprès de l'utilisateur B. De ce fait l'utilisateur A, aura un badge au comportement identique à celui de l'utilisateur B, qu'il pourra utiliser à des fins malveillantes. Le procédé existant fonctionne uniquement sur la détection d'un événement du type contact d'ouverture de portière , et ne peut donc pas protéger des véhicules sans portière (deux-roues, tricycle, jet-ski, moto-neige ou autres véhicules à quatre roues sans portière). Le procédé existant n'est pas compatible avec la législation européenne [ref: TRANS/WP.29/GRSG/2000/7 du 16 février 2000 se rapportant aux documents TRANS/WP.29/2000/18 et TRANS/WP.29/2000/3 du Comité des transports intérieurs de la Commission économique pour l'Europe] qui interdit pour des raisons de sécurité de stopper un véhicule alors qu'il est en mouvement. Or le procédé existant peut stopper le moteur du véhicule alors que celui-ci n'est pas à l'arrêt. En effet, il effectue la coupure du moteur sans vérifier la vitesse car ce paramètre n'entre pas dans le processus d'arrêt du moteur. De même, le procédé existant est en défaut par rapport au code de la route de certains Etats américains, puisqu'il risque de provoquer l'arrêt d'un véhicule dans des zones non autorisées, voire dangereuses. En effet, la législation interdit le stationnement devant les casernes de pompiers, dans les virages, sur les autoroutes, etc. Pour exemple Vehicle Code Sections 22500 à 22506 qui énumèrent ces différentes zones de stationnement et arrêt interdits. Le document US2002/0024428 Al et son équivalent français publié sous la référence 2791728 fait état d'un système de liaisons qui permettent d'empêcher l'ouverture et le démarrage du moteur d'un véhicule au moyen d'un ou plusieurs identifiants. Le document FR2813258 faisant suite à la publication US 60227409 décrit un système bidirectionnel contrôlant l'ouverture et le démarrage d'un véhicule en vérifiant la présence d'un badge valide dans une portée restreinte autour du véhicule et pendant un certain temps après le démarrage de ce dernier. Les procédés existants ne vérifient pas l'immobilité du véhicule avant de couper le moteur. Ils utilisent tous un événement de type ouverture de portière pour initialiser le contrôle de présence du badge valide. Ils ne peuvent pas garantir que le véhicule s'est déplacé suite à l'agression du conducteur autorisé, donc le conducteur autorisé peut être à nouveau agressé pour déverrouiller le système, si le voleur est encore à proximité. Les procédés existants ne permettent la protection que du véhicule, et leur utilisation pour le contrôle d'appareils additionnels ou fonctions connexes n'est pas prévue. La présente invention propose un procédé et un dispositif dont les composants utilisent des liaisons sécurisées bidirectionnelles filaires ou radiofréquences tant pour le badge apparié que pour les capteurs et actionneurs. De ce fait, notre invention constitue un ensemble de solutions innovantes, efficaces et robustes pour corriger les lacunes et faiblesses des procédés existants. De façon non exhaustive, l'invention permet de: S'adapter à tout type de véhicule avec ou sans portière, l'élément déclenchant l'interrogation de la présence du badge étant une tentative de déplacement du véhicule. - Garantir pour la sécurité des particuliers, suite à un vol par ruse ou par agression, que le véhicule ait roulé pendant au moins un certain temps ou qu'il ait parcouru au moins une certaine distance avant de déclencher le processus d'arrêt. - Dans une version destinée aux professionnels de la route (livreurs, chauffeurs de taxis, démonstrateurs de véhicules neufs...) le véhicule pourra être arrêté immédiatement après la détection de tentative de démarrage, et avant qu'il soit en mouvement. Cette option pourra être activée ou inhibée selon la demande de l'utilisateur autorisé. - Limiter le fonctionnement du badge aux seules périodes et conditions dans lesquelles il doit et peut fonctionner, ce qui réduit sa consommation d'énergie, augmente son autonomie, et réduit les risques d'espionnage, sécuriser les liaisons entre les éléments du dispositif de protection, faciliter leur installation du fait des liens radiofréquence, - protéger le système contre la contrefaçon du badge, en le protégeant de l'espionnage radiofréquence et contre les attaques physiques, protéger le système contre une attaque par réutilisation d'un message scanné (requête ou réponse), en utilisant une clé de chiffrement variable pour chaque session de communication, sécuriser l'utilisation ou une fonction déjà commandée par une télécommande (tel que l'ouverture d'un portail, d'une barrière etc...) avec la vérification de la présence du badge prouvant que c'est un utilisateur autorisé qui a appuyer sur la télécommande d'ouverture et ce sans modification majeure des installations existantes, - protéger les véhicules ou appareils ne comportant pas de portière, protéger les véhicules en respectant la législation européenne (mais aussi d'autres Etats), qui interdit l'arrêt du moteur lorsque le véhicule est en mouvement, - protéger les véhicules de façon passive. L'utilisateur autorisé n'a aucune action a effectuer pour que le système TwinKey délivre les autorisations ou interdictions d'utilisation. S'interfacer aisément avec un système existant de coupure à distance du moteur (par GSM, télécommande...), en retardant l'ordre de façon à ne couper le moteur que lorsque le véhicule est immobilisé. D'autres buts et avantages apparaîtront au cours de la description qui suit L'invention va être à présent décrite plus en détails à titre d'exemple nullement limitatif, en regard des figures annexées. La présente invention concerne un dispositif constitué d'une centrale de contrôle principale de l'utilisation d'un appareil ou d'un véhicule qui pourra réveiller ou envoyer des ordres et recevoir des informations de l'ensemble des éléments qui constituent le dispositif. Seul un utilisateur autorisé, porteur d'un badge apparié à la centrale de contrôle pourra exploiter les fonctions protégées de l'appareil ou du véhicule. La protection de l'appareil ou du véhicule est conditionnée par la validité d'un lien bidirectionnel entre la centrale de contrôle principale et le badge. Ce lien est d'une portée limitée à l'espace d'utilisation normale de l'appareil à protéger. Pour un véhicule, cet espace couvre l'habitacle et quelques mètres autour du véhicule. Notre procédé répond parfaitement à la proposition du règlement numéro 97, Ref. para. 31.4 évoquée dans le document TRANS/WP.29/GRSG/2000/7 et citée ci-après: Les possesseurs de véhicules commerciaux, de livraison ou encore les véhicules Taxis, etc, sont soumis à des arrêts fréquents pendant lequel le véhicule est laissé quelques instants moteur tournant. Le véhicule n'est pas protégé pendant ce laps de temps. Il apparaît une demande, de plus en plus forte, de pouvoir disposer d'un dispositif d'immobilisation pouvant être armé volontairement ou automatiquement par le conducteur lorsqu'il quitte le véhicule. Lors d'une tentative de vol du véhicule, le dispositif d'immobilisation serait activé et conduirait à un arrêt du moteur du véhicule avant que la mise en mouvement du véhicule intervienne . Dans ce cas, lorsque le véhicule est à l'arrêt moteur tournant, notre dispositif va lancer un processus de challenge/response entre le contrôleur et le badge dès qu'il aura détecté une augmentation notable du régime moteur. En cas d'échec le contrôleur principal arrêtera le moteur avant que le véhicule ait commencé à se déplacer. Les systèmes d'alarme ou de protection contre le vol des véhicules reposent essentiellement sur des systèmes à transmission filaire de l'information, entre la centrale de gestion de la sécurité du véhicule et les capteurs et systèmes d'avertisseurs ou de blocage des fonctionnalités du véhicule. Notre invention propose une utilisation préférée, mais non obligatoire, des liaisons radiofréquence basse portée pour la communication entre les éléments constituant le système de protection du véhicule. Cette particularité garantit une installation extrêmement plus facile, adaptable et rapide des différents éléments constituant le système. Ces éléments pourront être unidirectionnels lorsque la centrale n'a pas de données secrètes à transmettre, et qu'elle n'a pas besoin d'accusé de réception. Dans une représentation plus évoluée, toutes les liaisons seront bidirectionnelles, et les canaux de communication seront sécurisés, avec des protocoles de communication non réutilisables d'une session à l'autre. Une telle architecture à liaisons bidirectionnelles permet en plus de garantir que pour tout message, un accusé de réception sera envoyé par retour. De plus, lors de l'installation et à chaque initialisation du système distribué, une vérification complète de fonctionnement et de validité des fonctionnalités permet de garantir l'intégrité et la sécurité du système. Dans le cas d'émetteurs à puissance d'émission réglable logiciellement, les éléments distribués (centrale de contrôle, capteurs, badge, etc) pourront ajuster leur puissance d'émission au minimum pour garantir une liaison de qualité, éviter une consommation abusive et limiter le rayon de couverture afin d'empêcher une réception facile par un système espion en dehors d'un périmètre de proximité du véhicule. L'utilisateur autorisé pourra également utiliser d'autres appareils secondaires protégés par un boîtier additionnel. La centrale de contrôle secondaire communiquera avec le badge au travers de la centrale de contrôle principale ou directement avec le badge. Cela dépendra de la distance entre le badge et l'appareil secondaire à contrôler et de la présence valide ou pas de la centrale de contrôle principale. Cette particularité permet d'étendre la portée du badge, lorsqu'il est utilisé en présence de l'appareil principal protégé. Le badge porté par l'utilisateur peut être combiné à l'utilisation d'une télécommande d'un système annexe pour en valider la capacité à effectuer une fonction. Dans ce cas, on garantit que la fonction télécommandée ne pourra être effectuée qu'en présence du badge porté par l'utilisateur autorisé. Par exemple, une télécommande de portail et/ou de porte de garage enverra son signal original vers un boîtier de commande d'une fonction, tel le moteur. Un boîtier supplémentaire (centrale de contrôle secondaire) interceptera le signal de commande de la fonction. Il le bloquera tant que la présence d'un badge valide ou d'un véhicule plus un badge valides ne sera pas prouvée. Ce boîtier supplémentaire pourra intégrer un émetteur/récepteur, permettant une communication bidirectionnelle avec le badge et la centrale principale, afin de réaliser une authentification mutuelle de type challenge/response , qui autorisera la commande à atteindre l'ouverture du portail ou de la porte de garage. Pour cela, le boîtier secondaire enverra successivement des requêtes valides vers la centrale de contrôle principale et le badge, et analysera les réponses au fur et à mesure. Cela permet en particulier: - d'utiliser la centrale de contrôle principale comme relais dont la portée est supérieure à celle du badge (lorsque le badge est porté par le conducteur dans le véhicule et que l'appareil secondaire à contrôler est une porte de garage par exemple) tout en permettant le contrôle d'utilisation de l'appareil secondaire, lorsque la centrale de contrôle principale n'est pas en fonction (par exemple ouverture d'une porte de garage lorsque la centrale de contrôle principale est hors tension dans le véhicule garé dans le garage). De nombreux systèmes existant proposent à l'utilisateur autorisé de couper le moteur de son véhicule volé en exploitant un système de commande tel qu'une télécommande radiofréquence, un numéro ou un code spécifique transmis auprès d'un service de téléphonie mobile. Dans ce cas, le moteur du véhicule est stoppé instantanément à la réception de la demande d'arrêt, ce qui est contraire à la législation et peut porter atteinte à la sécurité des personnes dans le véhicule ou environnantes. En s'intercalant entre le système de réception de la demande d'arrêt immédiate et le moteur, notre invention transforme la demande d'arrêt immédiate en une coupure du moteur lors de la prochaine immobilisation du véhicule. PROCEDE DE FABRICATION ROBUSTE Sur le plan de la résistance aux attaques physiques, notre invention protège les composants électroniques et les cartes électroniques de toute modification, par un procédé de fabrication qui noie intégralement les cartes et les composants dans un matériau monolithique opaque noir et résistant aux attaques mécaniques et chimiques. Par ailleurs, la source d'énergie du badge n'est pas interchangeable, ce qui limite les accès aux cartes et composants. De plus, le code n'est pas assigné au badge par un moyen mécanique, mais par une programmation unique et définitive respectivement d'un composant du badge, et d'un composant de la centrale de contrôle. Les fonctions critiques du badge et de la centrale sont maintenues inactives tant que le processus de programmation, réalisable une seule fois, n'a pas été réalisé. Seul le constructeur du système de protection possède la table de correspondance des numéros de série et des codes secrets du badge et de la centrale de contrôle. De ce fait, reproduire un badge, n'est possible qu'en prouvant son identité auprès du fabriquant, comme c'est le cas pour les clés de serrure de haute sécurité. Ces mesures et leur mise en uvre dans un contexte où les données secrètes sont conservées avec un soin particulier (réseaux d'ordinateurs non connectés aux réseaux publics et dont l'accès n'est autorisé qu'à un personnel assermenté et restreint, soumis à une identification préalable), permet d'assurer que la reproduction d'un badge demanderait des moyens techniques et financiers énormes non connus à ce jour. Du fait du procédé de fabrication du badge surmoulé dans un boîtier plastique ou autre matériau composite, celui-ci possède une particulière résistance à l'humidité (transpiration, lavage), aux chocs mécaniques (chutes d'une hauteur d'homme depuis une poche, chocs dans une poche de vêtement...), à la poussière (sable, boue, poussières de la vie courante ou industrielles). MODES DE REALISATION L'une des formes de réalisation du système (B) selon la présente invention est illustrée schématiquement sur le figure 1, conjointement à un véhicule (A) associé. Ledit véhicule (A) est équipé de capteurs (capteur de vitesse (10) et capteur de régime moteur(ll) pour notre exemple. Ledit véhicule (A) est équipé également d'un moteur (12), d'avertisseur sonore ou d'avertisseurs visuels (feux de détresses par exemple) référencés (13) et d'un témoin d'état référencé (14) (témoin de jauge de carburant pour notre exemple). Ledit système (B) appelé TwinKey est composé pour notre exemple, d'une centrale principale de contrôle (5) pouvant être arrêtée par un inhibiteur externe (9), ledit système (B) est composé également de un ou plusieurs badges (6) appairés à la centrale principale de contrôle (5). Ledit badge (6) est porté par l'utilisateur autorisé (C). Ledit système (B) est également composé pour notre exemple figure (4) d'une centrale de contrôle secondaire (7). Pour notre exemple figure 4, le système secondaire (D) est un portail à ouverture pilotée par télécommande (22). Ledit portail est composé d'une centrale d'origine (23) recevant l'ordre d'ouverture de la commande (22) et délivrant l'ordre d'ouverture au moteur (24). Cette application n'étant qu'un exemple parmi les nombreuses applications de l'invention. Selon un premier mode de réalisation illustré par la figure 2, l'émetteurrécepteur d'une centrale principale de contrôle(20) du véhicule va vérifier la présence d'un badge valide (6) dans la zone de couverture des émetteurs et récepteurs (z6 et z20). Pour cela, l'analyseur ((19) FIG.l) de la centrale principale de contrôle ((5) FIG.l) va détecter l'arrêt du véhicule puis un changement du régime moteur grâce aux informations données par les détecteurs ((10),(11) FIG.1). Lorsque ces deux conditions seront valides la centrale principale de contrôle ((5) FIG.1) démarrera son processus de challenge-response avec un badge potentiel. Seul un badge apparié ((6) de la FIG. 2) pourra répondre correctement aux requêtes, et l'utilisateur autorisé (C) pourra continuer à utiliser l'appareil ou le véhicule. (A) Au contraire, comme illustré par la figure 3, en l'absence d'un badge apparié (6) dans la zone de couverture (z20) de l'émetteur-récepteur (20), la centrale principale de contrôle (5) va se mettre en état d'alerte, stopper le moteur ((12) FIG.1) au prochain arrêt du véhicule (A) en déclenchant ou non (suivant le choix de l'utilisateur (C))des avertisseurs sonores ou visuels ((13) FIG.l) Des tentatives de découverte d'un badge apparié pourront tout de même être tentées pour parer une éventuelle fausse alerte en cas de mauvaise communication avec un badge qui aurait été présent. Selon un second mode de réalisation, particulièrement adapté à l'ouverture d'une porte de garage alors que le véhicule de l'utilisateur autorisé est garé, hors tension dans ledit garage, une centrale secondaire de contrôle est utilisée. Cette centrale est appariée avec le même badge que celui utilisé pour protéger le véhicule, mais le secret commun servant au challengeresponse est avantageusement différent de celui utilisé pour protéger le véhicule. Cette centrale secondaire de contrôle intercepte les ordres d'ouverture de la porte, et ne rétablit la connexion vers le moteur de la porte que lorsque la présence d'un badge apparié est prouvée. Dans ce mode de réalisation, la télécommande, le récepteur et les actionneurs sous la protection de la centrale secondaire de contrôle sont tous d'origine, et seule l'implantation de ladite centrale secondaire de contrôle est intrusive dans le système. Par ailleurs, le véhicule sous protection de la centrale principale de contrôle n'étant pas sous tension, il n'entre absolument pas en jeu dans le contrôle d'utilisation de cet appareil secondaire. Selon un troisième mode de réalisation, illustré par la figure 4 la liaison entre le badge(6) et la centrale secondaire de contrôle (7) se fait au moyen l'emetteur-recepteur (21) de la centrale principale de contrôle (5). Ce mode de réalisation est parfaitement adapté à la situation suivante: un utilisateur autorisé (C) est dans son véhicule (A), et s'apprête à ouvrir un portail ou une porte de garage (D) (une porte automatique motorisée), au moyen de la télécommande d'origine (22) de ladite porte. L'utilisation de la porte (D) est protégée par une centrale secondaire de contrôle (7) appariée au badge(6) et à la centrale principale de contrôle (5) du véhicule (A). Etant dans son véhicule (A), la portée du badge (z6) de l'utilisateur (C) autorisé est insuffisante et très inférieure à celle de la télécommande d'origine de commande de la porte (z22). Lors de la stimulation du système de contrôle d'origine de la porte (23) par la télécommande d'origine (22) de la porte, la centrale de contrôle secondaire (7) est stimulée et démarre un processus de recherche de badge qui se trouve infructueux, tandis qu'en alternance, elle recherche, dans sa zone de couverture (z7) la présence d'une centrale principale de contrôle (5). La centrale principale de contrôle (5) stimulée par la centrale de contrôle secondaire (7), va rechercher dans la zone de couverture (z20) de son émetteur-recepteur intra-habitacle (20) la présence d'un badge (6) apparié aux centrales de contrôles (5) et (7). Le badge (6) ayant prouvé sa présence, la centrale de contrôle principale (5) va utiliser la portée (z2l) de son emetteur-recepteur extra-habitacle (21), pour délivrer l'ordre à la centrale de contrôle secondaire (7) d'autoriser la centrale d'origine (23) du portail (D) à commander le moteur (24) pour que le portail s'ouvre. Exemple de séquence d'événements appliqué à la figure 8 lors de la communication entre un badge et sa centrale principale de contrôle appariée lorsque l'utilisateur autorisé va vouloir démarrer son véhicule dans un usage non professionnel: 1. Le badge est en veille, et la centrale est éteinte. 2. L'utilisateur autorisé ouvre la portière, s'installe et met le contact, la centrale principale de contrôle passe à l'état alimenté. L'utilisateur démarre le moteur. 3. La centrale de contrôle s'initialise avec succès, et attend une 10 variation du compte-tours ou du capteur de vitesse pour émettre le challenge-response. 4. Lors d'une action sur la pédale d'accélérateur ou une indication de vitesse la centrale de contrôle démarre le processus de challengeresponse. 4.1. la centrale de contrôle émet une porteuse pour réveiller les badges dans son espace de couverture radiofréquence. 4.2. Si un badge est présent, il se réveille et émet à son tour sa porteuse pour indiquer sa présence. 4.3. La centrale de contrôle émet alors son challenge 4.4. Le badge décrypte le challenge, en particulier pour savoir s'il lui est adressé et pour récupérer les données à utiliser pour calculer la réponse. Comme le badge est apparié, il est apte à traiter ces données et émet sa réponse. 4.5. Comme la réponse émise par le badge est valide, la centrale de contrôle passe en état de veille, et cesse d'émettre sa porteuse. 4.6. Le badge ne recevant plus de porteuse, il se met également en veille. 5. L'état de veille se prolonge jusqu'à l'ouverture ou la fermeture d'une portière. Actions du système en cas agression par ruse ou agression avec extraction 6. Au cours d'un arrêt du véhicule, un agresseur ouvre la portière et éjecte de son véhicule le conducteur autorisé. 7. L'agresseur prend la place du conducteur. 8. Lors de la tentative de déplacement du véhicule (action sur la pédale d'accélérateur ou vitesse non nulle), la centrale démarre le processus 35 de challenge-response: 8.1. La centrale de contrôle émet une porteuse pour réveiller les badges dans son espace de couverture radiofréquence, durant toute la durée du timeout. 8.2. Le badge étant hors de la portée de la centrale de contrôle, à la fin des timeout des états Centrale réveil BTK et Centrale requeté BTK , la centrale passe dans l'état Alerte attente vitesse nulle . 8.3. A la prochaine immobilisation du véhicule, la centrale passe dans l'état Centrale bloquante et coupe le moteur. 9. Le système reste dans cet état tant qu'il ne sera pas inhibé par une action sur (9). Une action inverse sur (9). remet le système TK dans l'état Centrale alimentée et remet en place la protection par badge. Explications des états de l'automate de gestion du badge (figure 7) : Badge TK en mode veille: Description: C'est l'état de mise sous tension et sans activité avec une consommation extrêmement faible. Circonstances d'entrée: le badge revient dans cet état au bout d'un TIMEOUT depuis n'importe quel autre état de l'automate, ou lorsque les données envoyées par une centrale de contrôle sont non valides ou que les données reçues ne sont pas destinées à ce badge, ou lorsque le badge sort du champ d'action de la porteuse, ou que cette porteuse cesse d'être émise. Actions, Etat des sorties: La consommation d'énergie est minimalisée, il n'y a que la veille de détection de PORTEUSE, donc les sorties du badge sont toutes inactives: TK P+TK D signifie que le badge n'émet pas de PORTEUSE ni de DONNEE VALIDE. Circonstances de sortie: Sortir de cet état n'est possible que par la réception de CT_P, la porteuse de signal d'une centrale de contrôle (principale ou secondaire). Badge TK initialisé, Attente de requête valide: Description: Le badge est en mode de fonctionnement, et s'est initialisé après la sortie du mode veille, il attend un requête valide provenant d'une CENTRALE DE CONTROLE appariée. Circonstances d'entrée: Cet état résulte de la sortie du mode veille par réception d'une PORTEUSE provenant d'une centrale de contrôle (principale ou secondaire). Cette porteuse peut provenir de l'entrée du badge dans le champ d'action d'une CENTRALE DE CONTROLE (appariée ou non), ou de la réactivation de la PORTEUSE par ladite CENTRALE DE CONTROLE pour une vérification de droits, ou cette porteuse peut provenir d'une tentative d'attaque par un tiers mal intentionné. Actions, Etat des sorties: A la réception d'une PORTEUSE appropriée, le badge s'initialise et renvoie une PORTEUSE en retour pour signaler sa présence, sans pour autant livrer d'élément de son identité ou de son secret en aucune façon. Circonstances de sorties: Pour sortir de cet état, seule une requête valide (signée par une CENTRALE DE CONTROLE appariée), provoquera le traitement de la requête et la réponse correspondant au CHALLENGE contenu dans la REQUETE. Un TIMEOUT ou un message valide de mise en veille (CT SO). Liste des illustrations et tableaux: Les illustrations, le texte et les tableaux respectent la même numérotation et notation. La figure 1 est une illustration schématique d'un système conforme à la présente invention et d'un véhicule associé. La figure 2 est un croquis du fonctionnement du système de la figure 1 lorsque l'utilisateur autorisé est dans la zone de couverture du système Twinkey. La figure 3 est un croquis du fonctionnement du système de la figure 1 lorsque l'utilisateur autorisé n'est pas dans la zone de couverture du système Twinkey. La figure 4 est un croquis du système de la figure 1, appliqué à un exemple de contrôle de fonction annexe, pour le contrôle d'une commande d'ouverture de portail. La figure 5 est un schéma descriptif des éléments dans une réalisation générique et montre les blocs fonctionnels et leurs interactions, en terme de communication. Les blocs sont tous représentés avec leurs composants distribués. Le véhicule (A) emporte la centrale principale de contrôle (5) et ses blocs d'interface et d'actionneurs. Le badge appairé (6) appartient au groupe (B) puisqu'il appartient au système TwinKey rapporté sur le véhicule. Par contre, il est porté par l'utilisateur autorisé (C) qui porte également la commande (22) du système secondaire (D) (typiquement une porte de garage). Le système externe (E) n'est pas défini par TwinKey, mais peut s'interfacer avec lui, dans la mesure où il permet de forcer à distance une demande de coupure du moteur. La figure 6, décrit les conventions de notations utilisées pour les automates des figures 7, 8 et 9. La figure 7 décrit l'automate utilisé pour gérer le badge porté par l'utilisateur autorisé. La description qui suit correspond aux premières transitions d'un état à un autre de l'automate dudit badge, selon la convention décrite en figure 6. La figure 8 correspond à l'automate de gestion de la centrale principale de contrôle d'un véhicule pour une utilisation par un particulier, tandis que la figure 9 montre le système paramétré pour les véhicules de livraison, les taxis, etc... Dans le premier cas, (FIG.8) le système de contrôle va garantir que le véhicule a roulé pendant un certain temps ou parcouru une certaine distance, avant que le moteur ne soit arrêté à la prochaine annulation de la vitesse du véhicule. Cela garanti la sécurité du conducteur victime de l'agression, en mettant une certaine distance au moment de l'arrêt du moteur entre l'agresseur et le conducteur volé. En revanche, dans le second cas (FIG. 9) où la cargaison du véhicule a une certaine valeur, le conducteur ne veut pas que le véhicule s'éloigne avant que le moteur ne soit coupé. Dans ce cas, la vérification des droits et l'arrêt du moteur se font lors de l'accélération du régime moteur, et avant que le véhicule ne soit mis en mouvement. tableau de description des éléments référencés Ref Description (A) Le véhicule à protéger (8). Système d'alimentation, de mise en marche, et d'arrêt du véhicule (par exemple batterie et contact à clé) (10). Capteur de vitesse (11). Capteur de régime moteur (compte-tour, tension en sortie d'alternateur._.) (12). Système de contrôle de fonctionnement du moteur (allumage, électrovanne de pompe d'injection, coupe-circuit _) (13). Centrale avertisseurs sonores et/ou visuels (14). Témoin visuel et/ou sonore, commandé par (17). pour indiquer l'état du TwinKey (B) Système TwinKey (5) . Centrale principale de contrôle TK, appariée avec le (6). et le (7). optionnel (6). Badge porté par l'utilisateur autorisé, apparié avec la centrale principale (5) et secondaire (7). Peut comporter un système d'accrochage (trou, agrafe._.) (7) . Centrale Secondaire de contrôle (portail ou autres), Apparié avec (5). et (6). (9). Inhibiteur du système - Permet de désactiver totalement l'ensemble en cas de véhicule du système TK, utile panne ou lorsque personne l'utilisateur (ex. autorisé confie son garagiste). à une tierce (15). Coupure de moteur (17). Indicateur visuel de l'état de (B). (optionnel). être un Peut buzzer, une led, ou un système de mise à zéro de la jauge de niveau de carburant ou autre. (21). Emetteur-Récepteur extra-habitacle (portée moyenne) gérant les liaisons bidirectionnelles et unidirectionnelles avec les éléments externes à (A) ((7) par exemple) (C) Utilisateur (D) Système à contrôler par (B). et commandé par (22). (note a) (24). Fonction à commander par (22). (E) Système externe de commande de coupure immédiate du moteur piloté par radiofréquence (GSM, radiofréquence, ...). (note b) Notes. (note a) Le système (D) peut être un portail, une barrière motorisée, un système d'éclairage télécommandé, un relais électrique, etc. (note b) Le système (E) peut être un procédé anti-vol déjà existant, destiné initialement à couper le moteur suite à une action par une télécommande ou un appel téléphonique. Ce procédé n'étant pas conforme à la norme Européenne citée en page 2,le TK s'interpose entre ce système antivol et le moteur à couper afin d'effectuer l'ordre uniquement lorsque les conditions de sécurité sont en conformité avec la législation (vitesse nulle). Descriptif des signaux utilisés par les éléments du TwinKey pour les automates Entrées: Description Etat actif Inactif Détails (vert) (rouge ou barré) PW = PoWer Alimentation Pas d'alimen- Alimentation électrique de la centrale par le circuit de la tation voiture CT = Compte-Tour Valeur non Valeur nulle Signal de données du compte-tour, ou de la tension en sortie nulle d'alternateur. VT = ViTesse Valeur non Valeur nulle Signal de données du tachymètre nulle BTK_P = Badge Porteuse Porteuse Signal de présence porteuse de TK TK Porteuse présente absente BTK_D = Badge Données Données Signal contenant des données valides (répondant TK_Données Valides absentes ou correctement au challenge) provenant d'un badge TK présentes non valides Timeout Evénement de Sans objet Chronomètre lançant un événement lorsqu'un état de timeout l'automate est resté actif au delà d'un temps limite défini à l'avance. Init Auto-test réussi Auto-test L'auto-test définit l'intégrité et la possibilité de dialogue et échoué d'action entre tous les éléments du système. Message interne à la centrale de contrôle. IH Inhibation Aucun Signal issu de (9). pour désactiver la protection du véhicule activée par le système TwinKey DA Demande Aucun Signal issu de (E). qui demande l'arrêt immédiat du d'Arrêt active véhicule. La centrale principale exécutera l'ordre demandé uniquement lorsque les conditions d'arrêt du moteur seront conformes à la logique du système TK. Sorties: Description Etat actif Inactif Détails (vert) (rouge ou barré) AL = ALarme Alarme activée Alarme Commande de relais pour indiquer une alarme inactive OF = OFf Ordre d'arrêt Pas de signal Commande de coupure moteur moteur TM = TéMoin Emission du Pas de signal Commande jauge carburant vide ou son ou témoin lumineux signal témoin CT_P = CenTrale Emission de la Pas de signal Porteuse valide de communication Radiofréquence Porteuse porteuse de la centrale CT_R = CenTrale CT émet Pas de signal Emission de données de requête destinées à la TK (peut être Requête Requête valide ou données cyclique à période variable). La requête est invalide quant (5) invalides et (6) ne sont pas appariés CT_OV = CenTrale CT émet un Pas de Emission d'un ordre d'endormissement de la centrale TK Ordre de Veille message de donnée émise vers le badge TK (peut être cyclique à période variable) mise en veille Légende de la figure 5 Eléments I (A) : Véhicule (B) : TwinKey (C) : Utilisateur (D) : Système ^ ti : (E) : Commande É ... ^ ... Liaisons Unidirectionnelle Bidirectionnelle RF 4:::::::::::::::::b. Filaire RF ou filaire, Signaux La centrale étant le référentiel, les signaux émis sont en gras et les réponses sont en gras et entre parenthèses, comme sur le modèle ci-après. QUESTION (REPONSE) Légende de la figure 6 71 [Signal] Front montant signifie l'apparition de [Signal] [Signal] Front descendant signifie disparition de [Signal] [Signal] Variation signifie une variation de [Signal] AIB Ou inclusif signifie que la condition est valide lorsque A ou B est remplie (l'une, l'autre, ou les deux). A&B Et signifie que la condition est valide lorsque A et B sont remplies (les deux à la fois au même moment). A+B Cumul signifie que la sortie A est active et que dans le même temps, B est inactive. REVENDICATIONS 1. Procédé de contrôle du droit d'utilisation d'un véhicule caractérisé par la vérification de la présence proche d'un badge radiofréquence autorisé et garantissant l'arrêt du moteur uniquement lorsque le véhicule est immobile. 2. Procédé selon la revendication 1 caractérisé par le fait que le contrôle de la présence de l'utilisateur autorisé s'effectue chaque fois que des conditions critiques de sécurité sont rencontrées, à savoir, une action sur la pédale d'accélérateur lorsque le véhicule a une vitesse nulle. 3. Procédé selon l'une des revendications précédentes, caractérisé par le fait que: une demande provenant d'un système externe de réception d'ordre d'arrêt (par réseau sans fil), met en alerte le système qui considèrera cette demande comme une absence définitive de badge autorisé, et provoquera l'arrêt du moteur dès que la vitesse du véhicule sera nulle. 4. Dispositif de contrôle de droit d'utilisation d'un véhicule mettant en oeuvre le procédé selon l'une des trois revendications précédentes et caractérisé par le fait qu'il comporte: - un ensemble d'analyseurs de régime moteur et de vitesse du véhicule (18) , - un actionneur de coupure du moteur du véhicule à protéger (15), - une centrale principale de contrôle des éléments distribués (5), possédant un moyen de communication émetteur et récepteur hyperfréquence (20) - un badge (6) porté par l'utilisateur autorisé et pouvant communiquer avec la centrale principale de contrôle par une liaison hyperfréquence bidirectionnelle dans un champ d'action volontairement restreint à la proximité du véhicule, caractérisé par le fait que lorsque les informations rapportées par l'analyseur de régime moteur et de vitesse indiquent une tentative de déplacer le véhicule, et que dans le même temps, la vitesse du véhicule est nulle, la centrale de contrôle coupe le moteur du véhicule si le badge apparié n'est pas présent dans le champ de réception du véhicule. 5. Dispositif selon la revendication 4 caractérisé par le fait que la centrale principale de contrôle peut, selon le mode d'utilisation, provoquer la coupure immédiate du moteur avant que le véhicule soit entré en mouvement, ou bien attendre l'arrêt survenant après un temps donné ou une distance parcourue garantie, pour préserver la sécurité du conducteur dont le véhicule a été dérobé par ruse ou agression agressé. 6. Dispositif selon la revendication 4 ou 5 caractérisé par le fait que le badge porté par l'utilisateur autorisé peut limiter sa consommation et le risque d'espionnage en émettant uniquement en réponse à une sollicitation spécifique provenant de la centrale principale de contrôle. 7. Dispositif selon la revendication 6 caractérisé par le fait que la centrale principale de contrôle et le badge communiquent en utilisant une liaison sécurisée par un procédé de "Challenge/Response" faisant appel à des fonctions cryptographiques, et un secret symétrique ou asymétrique partagé par les deux parties. 8. Dispositif selon les revendication 4 et 5 caractérisé par le fait que la centrale principale de contrôle peut recevoir une demande d'arrêt immédiat du moteur provenant d'un système annexe, et que la demande d'arrêt du moteur ne sera réalisée que lorsque les conditions valides de la revendication 5 seront vérifiées. 9. Dispositif selon l'une des revendications 4 à 8 caractérisé par le fait que le badge peut être également apparié à une centrale secondaire de contrôle afin de protéger une fonction externe au véhicule. Dispositif selon la revendication (9) caractérisé par le fait que la centrale de contrôle secondaire s'intercale entre le système original de contrôle de la fonction secondaire à protéger et l'actionneur correspondant, afin de bloquer le signal de commande de ladite fonction jusqu'à ce que la présence d'un utilisateur autorisé soit détectée selon l'une des méthodes évoquées dans les revendications 1, 2, 3, ou 4. 11. Dispositif selon la revendication (10) caractérisé par le fait que la centrale secondaire peut alternativement rechercher un badge ou la combinaison d'un badge et d'une centrale principale de contrôle et de son badge apparié afin d'utiliser la centrale principale de contrôle comme relais pour dialoguer avec le badge lorsque celui-ci est limité en portée du fait qu'il est dans le véhicule, ce qui induit un l'effet de cage de Faraday. 12. Dispositif selon l'une des revendications (4) à (8) caractérisé par le fait que le badge et la centrale principale de contrôle stockent leur secret partagé dans un composant électronique programmé lors de leur appariement et noyé dans l'enrobage respectivement de la centrale et du badge, lors de leur moulage intégral dans un matériau totalement opaque. 13. Dispositif selon la revendication (12) caractérisé par le fait que les composants contenant les secrets partagés sont programmables une seule fois lors de la production des éléments distribués 14. Dispositif selon l'une des revendications (4) à (13) caractérisé par le fait que les différents éléments constituant le système distribué peuvent intégrer un moyen de communication hyperfréquence unidirectionnel (émetteur) afin de s'affranchir du câblage desdits éléments lors de l'installation du système sur le véhicule à protéger. 15. Dispositif selon la revendication (14) caractérisé par le fait que tous les éléments distribués, constituant le système TwinKey, intègrent un moyen de communication bidirectionnel permettant à la fois de dialoguer de façon sécurisée avec une centrale de contrôle en partageant un secret avec cette dernière, et de prouver son aptitude à remplir sa fonction auprès de la centrale de contrôle, lors de l'installation ou d'une phase d'initialisation du système.