Brevet FR2981756A1 — publié le 20130426

PROCEDE ET SYSTEME DE DETECTION DE FRAUDE D'INFORMATIONS DE POSITION D'UN DISPOSITIF MOBILE L'objet de la présente invention concerne un procédé et un système pour authentifier la position GNSS d'un élément ou dispositif mobile. Elle vise à détecter le Ieurrage ou l'usurpation d'émetteur (terme plus connu sous l'acronyme anglo-saxon "spoofing"), et s'applique, par exemple, au domaine des systèmes de télépéage routeur, autoroutier, urbain et à tout autre système de surveillance ou de paiement géo localisé. Un élément mobile correspond, par exemple, à une personne, un animal, un véhicule ou encore un objet quelconque. Les terminaux électroniques mobiles mettant en oeuvre des applications requérant des informations sur leur positionnement géographique comportent des moyens pour estimer le plus précisément leur position. Pour cela, des systèmes de géo-localisation par satellites sont communément utilisés, ces systèmes étant désignés par l'acronyme GNSS venant de l'expression anglo-saxonne « Global Navigation Satellite Systems ». Un exemple de système GNSS est le système GPS acronyme anglo-saxon de Global Positioning System. L'intégrité des positions est un besoin fort dans une application du positionnement critique d'un point de vue légal (système de paiement à l'usage : par exemple assurance, parking et réseau routier), ou une application judiciaire (bracelet électronique ou filatures) tout comme dans une application critique du point de vue sécurité des biens (suivi de containers), sécurité de l'utilisateur (assistance à la conduite). Les équipements utilisés dans des systèmes mettant en oeuvre ce type d'applications sont habituellement inviolables et mettent en oeuvre des moyens de communication sécurisés. Toutefois, le lien radio avec les satellites est un signal ouvert et vulnérable, à moins d'utiliser les signaux de GNSS cryptés qui ne sont pas accessibles à ces marchés, du fait de la diffusion et de la gestion des clés d'accès. Il est par conséquent possible qu'un utilisateur non coopératif ou une personne malintentionnée induisent de fausses positions dans un récepteur, sans avoir à s'immiscer dans l'équipement embarqué (désigné OBU ou en anglo-saxon 2 2981756 « On Board Unit »), ceci avec un équipement à bas coût de type récepteur régénérateur, et facile à mettre en oeuvre subrepticement. Des stratégies plus ou moins complexes peuvent être implémentées dans un récepteur-régénérateur pour injecter un signal GNSS correspondant à la trajectoire voulue pour contourner 5 l'application : par exemple pour éviter la génération d'une alerte dans un équipement de surveillance, comme le bracelet électronique ou les évènements de tarification déclenchés par le passage de portes virtuelles, dans les applications de paiement à l'usage, ceci tout en minimisant le risque de découverte. Les systèmes envisagés pour ces applications ne permettent pas à ce jour de déjouer de telles 10 fraudes. La solution typique de tarification est basée sur le passage de portique virtuel ou en anglo-saxon « virtual gate », ou encore le positionnement dans une zone payante (un parking, un centre ville). La vérification du fonctionnement des équipements de véhicule est faite statistiquement sur des points de contrôle fixes ou 15 mobiles, où la cohérence des évènements de tarification est contrôlée a posteriori avec les immatriculations des véhicules observés. Un équipement de fraude peut de plus être conçu pour être silencieux lors de ces contrôles, la position de ces contrôles est publiée vers ces équipements de fraude par un service centralisé (information officielle pour les points fixes ou partagée par les utilisateurs, pour les 20 points mobiles). Différentes méthodes de contrôle de la cohérence des estimations de position sont connues de l'art antérieur. Cette cohérence peut être vérifiée, par exemple, en surveillant la puissance absolue ou relative des signaux GNSS ou par comparaison avec des sources secondaires comme des capteurs de mouvement, 25 ou la mesure d'autres signaux radios. Des procédés originaux mettant en oeuvre la modélisation de l'utilisateur et son environnement sont divulgués dans la demande de brevet FR1100961. La cohérence des mesures peut également être vérifiée en utilisant des techniques de tatouage numérique permettant notamment aux terminaux de 30 localiser les émetteurs d'un réseau. Cette technique est souvent désignée par le mot anglais « watermarking ». Un exemple de mise en oeuvre du tatouage numérique est divulgué dans la demande de brevet WO 2009/037133. Par ailleurs, la sécurisation des applications de localisation suppose des mesures connues de protection anti-trifouillage (connu par le vocable anglo-saxon 3 2981756 "anti-tampering"), sur la sécurisation des échanges, sur la protection des données provenant d'autres capteurs dans le véhicule. De telles méthodes ne sont pas aujourd'hui implémentées dans les récepteurs commerciaux disponibles, et supposent pour certaines un coût important 5 résultant d'un travail de reconception au niveau de la puce et/ou du logiciel pilote. En particulier reconcevoir la puce ou chip pour récepteurs grand public représente un coût et un délai important. D'autres méthodes supposent l'ajout de capteurs dans l'équipement mobile (inertiels, mesure de signaux radio-fréquences). De toute façon, elles ne sont pas garanties et des attaques sophistiquées peuvent les 10 contourner au moins partiellement. L'idée mise en oeuvre par la présente invention, au contraire des approches existantes de l'art antérieur qui demandent en général l'ajout d'informations de position secondaires, ou un traitement du signal plus élaboré dans 15 la réception GNSS, consiste notamment à utiliser des informations de type cartographiques, sans faire appel à d'autre capteurs, dans le cas d'un fonctionnement normal du dispositif. L'objet de l'invention concerne un procédé pour authentifier la position 20 X(t) d'un élément mobile, un élément mobile comprenant au moins un récepteur GNSS, k, ayant une fonction d'estimer la position X(t) de cet élément mobile, ce procédé étant caractérisé en ce qu'il comporte en combinaison au moins les étapes suivantes : - déterminer une ou plusieurs données associées à la position X d'un 25 récepteur GNSS, r, - extraire d'une base de données cartographique des données de référence associées à la position X, - déterminer au moins un indicateur de cohérence Ic(X) en utilisant la première donnée associée audit récepteur r et la donnée de référence issue 30 de la base cartographique, - filtrer le ou lesdits indicateurs Ic(X), afin d'améliorer le taux de détection ou le taux de fausses alarmes, 4 2981756 - authentifier la position X dudit élément mobile en utilisant un ou plusieurs desdits indicateurs de cohérence Ic(X) dans une fonction de décision d'authenticité. L'étape de filtrage est, par exemple effectuée par intégration temporelle 5 de l'indicateur sur un intervalle de temps donné. L'établissement de la base cartographique et le calcul d'indicateur de cohérence sont réalisées dans un dispositif centralisé lié par un réseau de communication auxdits éléments mobiles. L'établissement de la base cartographique et le calcul d'indicateur de 10 cohérence sont, par exemple, réalisées au sein desdits éléments mobiles. Selon une variante de réalisation, pour authentifier la position X(t) d'un élément mobile, l'indicateur de cohérence Ic(X) est calculé à partir de la position de pseudolithes indiquée dans la base cartographique. Pour authentifier la position X(t) d'un élément mobile, l'indicateur de 15 cohérence Ic(X) peut être calculé à partir de la ou les directions emapl, emap2 du segment routier parcouru et/ou la vitesse Vmap estimée sur ce segment, à partir de données indiquées dans la base cartographique. Selon un autre mode de réalisation, pour authentifier la position X(t) d'un élément mobile, l'indicateur de cohérence Ic(X) est calculé à partir d'une part de la 20 distance parcourue Dr(t), estimée par la vitesse mesurée Vr(t), et d'autre part de la distance Dmap à vol d'oiseau, ou la distance curviligne sur le graphe routier dans la base cartographique. Pour authentifier la position X(t) d'un élément mobile, l'indicateur de cohérence Ic(X) est calculé, par exemple, à partir de l'altitude mesurée zr, comparée 25 à celle zmap indiquée dans la base cartographique (23). D'autres caractéristiques et avantages de la présente invention apparaîtront mieux à la lecture de la description d'un exemple donné à titre illustratif et nullement limitatif annexé des figures qui représentent : 30 - La figure 1, un exemple de système de localisation d'un dispositif mobile, tel qu'un véhicule, par satellite, - La figure 2, un diagramme des différents éléments intervenant dans le procédé et le système selon l'invention, 5 2981756 - La figure 3, une illustration de l'appartenance d'une position d'un élément mobile dans l'aire de visibilité d'un pseudolithe, - La figure 4, une illustration des contraintes de direction/vélocité donné par la cartographie, 5 - La figure 5, une illustration de comparaison vélocité et distance parcourue sur la carte. En résumé, de manière générique, le procédé selon l'invention, pour authentifier la position GNSS d'un dispositif mobile sans avoir recours à une seconde source de position et en utilisant l'architecture des récepteurs actuellement 10 utilisés, consiste notamment à évaluer la cohérence spatiale des informations de positionnement transférées à partir d'informations cartographiques. La figure 1 représente un exemple de localisation d'un élément mobile 1, par exemple un véhicule par satellite. Le système de localisation comporte, à bord du véhicule 1, un dispositif de localisation et de diffusion 2, dit " dispositif mobile", 15 destiné à déterminer la position et/ou la vitesse d'un véhicule et à transmettre ces informations de localisation à un serveur de positions 3 chargé de les stocker et/ou de les exploiter. Le dispositif de localisation et de diffusion comporte un récepteur 4 de signaux de navigation GNSS (en anglais Global Navigation Satellite System) tels qu'un récepteur GPS (Global Positioning System), émis par une constellation de 20 satellites 5a, 5b et un émetteur-récepteur 6 de communication mobile. Les informations de position sont calculées par le récepteur GNSS 4 au moyen de l'exploitation de signaux 13a et 13b émis par les satellites 5a, 5b selon des méthodes connues par l'Homme du métier. La figure 2 schématise de manière simplifiée l'architecture du système 25 d'authentification de position d'un dispositif mobile selon l'invention. La trajectoire du récepteur GNSS embarquée sur un dispositif mobile 1 est composée d'une suite de positions X(t) GNSS estimées à des instants t, 21, auxquelles sont associées une incertitude en position AX et une incertitude en temps At. Le dispositif mobile est dit "fidèle" et les positions "authentiques" si les 30 positions sont calculées à partir de signal "authentique", c'est à dire émis par la constellation GNSS. Le dispositif mobile est dit "fraudeur" et les positions "inauthentiques" dans le cas contraire. 6 2981756 Un module 22 permet de déterminer des indicateurs de cohérence. Ce module 22 reçoit notamment les données géographiques 23, les valeurs de position GNSS. Un module 24 a notamment pour fonction de détecter les données ou 5 positions suspectes. Différentes réalisations du procédé sont décrites, ci-après. Selon une variante de réalisation, on utilise, par exemple, une base cartographique centralisée dans un ou plusieurs serveurs accessibles depuis chacun des récepteurs, qui reçoivent les données de positionnement. La zone de 10 service d'un serveur et de la base de données est déterminée dans une implémentation par un compromis entre coût et performance. Dans une implémentation typique, une base couvrira un pays ou une région. Une réalisation alternative d'implémentation du procédé selon l'invention est d'utiliser une base cartographique dupliquée sur chaque équipement mobile. Les 15 modules 22 et 24 peuvent aussi être réalisés soit dans le terminal soit dans un serveur central. Ces variations concernent l'implémentation et non le principe du procédé, expliqué dans l'implémentation centralisée. Un composant de détection de données suspectes 24, tel que décrit 20 dans son principe général par le brevet No FR11/00961, par exemple, estime un ou plusieurs indicateurs statistiques, 22, notés Ic(X), et X à la position d'un récepteur k à un instant donné. Un indicateur étant bruité à la fois des erreurs de mesures récepteurs, des erreurs de la cartographie, et des erreurs inhérente au principe de comparaison, 25 un ou plusieurs filtres sont appliqués aux indicateurs statistiques Ic(X), par exemple en intégrant ces valeurs Icraw (X) sur une trajectoire de l'élément mobile pour un intervalle de temps [to, t1], dont la durée est choisie en fonction de l'application: kfirtré (X) = f/c.,(X) où lettrée correspond à la valeur de l'indicateur obtenue après filtrage et Icr' correspond aux valeurs pouvant être prises par 30 l'indicateur sur l'intervalle de temps [to, fi]. A partir de cas valeurs filtrées, il est possible de construire une fonction de décision sur l'authenticité de position d'un dispositif mobile ou d'un récepteur k monté sur le dispositif. 7 2981756 A cet effet, il est possible d'utiliser typiquement une valeur logique vrai/faux, un estimateur de probabilité de fraude p(X) ou des valeurs de possibilité/nécessité suivant la logique floue de Lofti Zadeh (Zadeh, L.A. (1965). "Fuzzy sets", Information and Control 8 (3): 338-353, Novàk, V. "Are fuzzy sets a 5 reasonable tool for modeling vague phenomena?", Fuzzy Sets and Systems 156 (2005) 341-348), cette valeur étant une représentation numérique d'un degré de confiance dans la position Pk du récepteur k: un drapeau logique L(X) = Ic(X) > T, E {0;1 }, où T est une valeur seuil choisie, ou 10 un estimateur de probabilité p(X) = f( Ic(X)) où f : [0; e[ -> [0; 1] est une fonction croissante qui normalise l'indicateur sur [0;1]. Cette fonction est choisie à partir de modèle ou d'expérimentation pour être un estimateur valable de la probabilité de fraude, ajusté à l'aide de paramètres. Par exemple : p(X) = 2/w*arctan( [3 lcm) E [0;1] est continue et satisfait 15 ces bornes. Les valeurs de paramétrage sont, par exemple, la valeur seuil T > 0, ou les facteurs f3 > 0 et m > 0. Ces valeurs permettent le réglage de la décision suivant la distribution observée de l'indicateur utilisé sur des échantillons représentatifs de trajectoires réelles et de trajectoires falsifiées pour un dispositif mobile donné. f3 est 20 défini comme l'inverse de la valeur le correspondant à une probabilité de confiance de 1/2 et m permet de régler la « rampe » de la fonction. p(X) étant la probabilité de leurrage ou en anglo-saxon « spoofing », le complémentaire 1-p(X) à cette valeur est une probabilité d'authenticité. Cette probabilité p(X) indicateur de confiance Ic(n, X) est obtenue à partir d'un des 25 indicateurs de cohérence ou indicateurs statistiques 22 ou une combinaison de certains de ces indicateurs en appliquant les méthodes connues de l'Homme du métier, celles décrites dans le brevet FR11/00961, ainsi qu'au moins un des 4 types d'indicateur originaux, passage près d'un pseudolithe, direction/vélocité comparé au segment routier, direction/vélocité comparé à la trajectoire, position comparé au 30 modèle de terrain, décrits ci-après, exploitant la collaboration entre récepteurs. A) Pseudolithes Dans cette méthode schématisée à la figure 3, le système comprend un certain nombre d'émetteurs terrestres, dit "pseudolithes", émettant un signal compatible d'une constellation GNSS, que les récepteurs GNSS existant utilisent 8 2981756 pour calculer leur position, suivant des méthodes connues de l'homme du métier: la position du pseudolithe étant diffusée dans le message de navigation, ou par assistance, ou connu par un serveur centralisé qui calcule la position utilisateur en "mobile-assisted". Par ailleurs, ce pseudolithe est distingué dans le calcul du point 5 par son PRN, et ce fait permet au détecteur de reconnaître la réception ou non d'un pseudolithe, noté par la variable logique: visible(PL). L'idée est d'installer de tels pseudolithes en certain points de contrôle (ce qui est potentiellement moins couteux, plus discrets, moins contraignant que d'autres équipements de contrôle). Dans un système de paiement sensible à la 10 position, l'implantation d'un pseudolithe dans une « porte virtuelle », valide l'évènement de tarification associé à cette porte. L'authentification de la position consiste à comparer celle-ci à la zone de couverture du pseudolithe. PL étant la zone de réception, si rpL est le rayon estimée de réception pour un récepteur et l'environnement donné, la position X(t) de l'élément mobile est dans la couverture 15 du pseudolithe si et seulement si: I X(t) - XPL rpL, comme illustré en figure 3. Le point 30 correspond à un élément non visible et le point 31 à un élément visible. Si la position X(t) de l'élément mobile est dans cette zone de couverture PL sans que le pseudolithe soit inclus dans le calcul du point, ou que la position X(t) n'est pas dans la zone PL alors que le pseudolithe est inclus dans le calcul du point, 20 alors le signal utilisé pour calculer la position n'est vraisemblablement pas authentique. Il est possible de définir un indicateur de cohérence: IcpL (X) = si visible(PL) alors I X(t) - XPL rpL sinon rpL / I X(t) - XPL B) Cohérence de direction et vitesse schématisée à la figure 4 25 Dans cette variante de mise en oeuvre, mise en oeuvre dans des applications automobiles, la position indiquée par le récepteur GNSS est associée à une position vraisemblable Xm(t) sur le réseau routier en correspondance de carte ou « map-matching ». Sur ce schéma, la ligne en pointillée 41 représente les différentes positions X(t) mesurées pour le véhicule en mouvement et la référence 30 40 la position correspondante sur la carte routière. étant l'angle calculé dans le repère nord-sud habituellement utilisé dans le domaine de la cartographie routière, Ar l'angle du véhicule calculé au niveau du récepteur dans le repère terrestre, Vmap la vitesse définie par la cartographie, en fonction du segment de route concerné, de la vitesse limite de conduite sur ce 9 2981756 segment, Vr est la vitesse mesurée par le récepteur GNSS du véhicule mobile à surveiller. La ou les directions Oman emap2 du segment routier (suivant qu'il soit classé en sens unique ou double sens) est comparée à celle du véhicule Or, de même la vitesse théorique Vmap est comparée à la vitesse mesurée Vr du véhicule. Un 5 indicateur logique L(X) est levé lorsque la différence est supérieur à un seuil respectif A6, AV pour au moins l'une de ces variables: L(X) = Ier emapi I > AO and Ier emap2 I > Ae OU Vr > Vmap AV La valeur seuil AO est par exemple obtenue par des moyens d'évaluation préalablement définis. 10 Cette vitesse théorique Vmap est donnée soit par la limitation de vitesse, soit par l'évaluation de la vitesse à partir du classement de la voirie et de la topographie (virages, cotes, ...). Une vitesse inférieure n'est pas réputée suspicieuse. Evidemment, cette indication est ambiguë puisque une vitesse réelle excessive lève une fausse alarme. 15 Un indicateur continu /cD,r(X) est calculé comme suit à un instant t donné : Dir (X) =10 r (t) - map(t)11 A 0 + max(V,. (t) - V map(t),0) / AV Par ailleurs la comparaison entre la position reportée X(t) et celle 20 cartographiée Xm(t) sur le réseau routier, est un autre indicateur, décrit dans la demande de brevet FR1100961. C) Vitesse comparée à la trajectoire schématisée à la figure 5 Dans cette variante de mise en oeuvre, l'indicateur compare directement la distance Dist, correspondant à la vitesse mesurée Vr fois l'intervalle temporel 25 entre 2 mesures, avec celle calculée d'après la trajectoire constituée de la suite des positions X(tk), en effectuant un calcul de différence de points successifs, ou encore en calculant la longueur sur le graphe routier qui rejoint ces points successifs, ce qui peut-être fort différent si l'intervalle de temps n'est pas petit, ou la trajectoire sinueuse (voie d'accès, chicanes, ...). 30 Cet indicateur établit une cohérence entre des observables du signal de chaque satellite (à savoir pseudo range et fréquence) qui sont dépendant de la trajectoire du mobile. L'utilisation de la cartographie permet en principe une mesure assez exacte du chemin parcouru entre deux points, qui devrait correspondre à la vitesse définie en GNSS. En incluant le calcul de longueur sur le graphe routier, on détecte en plus un leurrage approprié en phase de code et fréquence, mais qui n'aurait pas utilisé ce même graphe pour piloter le lien entre les 2. Un indicateur /cDis,(X) peut-être calculé à partir de l'écart entre la distance Dr(tk) correspondant à la vitesse mesurée au niveau du récepteur GNSS multipliée par la différence temporelle entre deux instants tk+1- tk et la distance Dmap(tk) est la distance mesurée entre deux points mesurés X(tk), X(tk), ou deux points projetés Xm(tk),Xm(tk+l) sur le graphe routier ou cartographie routière: Icp,'(X)=11),,(tk)-D','p(tk)1 où Dr (tk) = Sr(tk)x(tk+i-tk) et Dniap(tk)--,-dist(X(tk),X(tk+1)), ou D,nap(tk)= dist(X',(tk),X',(tk+i)), dist étant la distance à vol d'oiseau ou la distance curviligne sur le graphe routier. D) Altitude comparée au modèle de terrain Pour tout personne ou véhicule terrestre de position X = (xr, yr, Zr), projetée sur une carte de terrain en un point (xn, ap, v map, Zmap), l'altitude Zr est supposée être conforme à celle zmap du terrain, pour la latitude et longitude xr, yr . L'indicateur peut-être calculé à partir de cet écart sur une trajectoire: /cAu(X)=Izr(t)- z,,,ap(t)1 zmap est l'altitude de la projection de la position sur une carte de terrain, laquelle peut ou non prendre en compte le "map-matching". 11 REVENDICATIONS1 - Procédé pour authentifier la position X(t) d'un élément mobile (1), un élément mobile comprenant au moins un récepteur GNSS, k, ayant une fonction d'estimer la position X(t) de cet élément mobile (1), ce procédé étant caractérisé en ce qu'il comporte en combinaison au moins les étapes suivantes : - déterminer une ou plusieurs données (21) associées à la position X d'un récepteur GNSS r, - extraire d'une base de données cartographique (23) des données de référence associées à la position X, - déterminer au moins un indicateur de cohérence (22) Ic(X) en utilisant la première donnée associée audit récepteur r et la donnée de référence issue de la base cartographique, - filtrer le ou lesdits indicateurs Ic(X), afin d'améliorer le taux de détection ou le taux de fausses alarmes, - authentifier (24) la position X dudit élément mobile (1) en utilisant un ou plusieurs desdits indicateurs de cohérence Ic(X) dans une fonction de décision d'authenticité. 2 - Procédé selon la revendication 1 caractérisé en ce que l'étape de filtrage est une intégration temporelle de l'indicateur sur un intervalle de temps donné. 3 - Procédé selon la revendication 1 caractérisé en ce que l'établissement de la base cartographique (23) et le calcul d'indicateur de cohérence sont réalisées dans un dispositif centralisé lié par un réseau de communication auxdits éléments mobiles (1). 4 - Procédé selon la revendication 1 caractérisé en ce que l'établissement de la base cartographique (23) et le calcul d'indicateur de cohérence sont réalisées au sein desdits éléments mobiles (1). 12 2981756 5 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce que pour authentifier la position X(t) d'un élément mobile (1), l'indicateur de cohérence Ic(X) est calculé à partir de la position de pseudolithes indiquée dans la base cartographique. 5 6 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce que pour authentifier la position X(t) d'un élément mobile (1), l'indicateur de cohérence Ic(X) est calculé à partir de la ou les directions e -mapl, emap2 du segment routier parcouru et/ou la vitesse Vmap estimée sur ce segment, à partir de données indiquées dans la 10 base cartographique. 7 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce que pour authentifier la position X(t) d'un élément mobile (1), l'indicateur de cohérence Ic(X) est calculé à partir d'une part de la distance parcourue Dr(t), estimée par la vitesse 15 mesurée Vr(t), et d'autre part de la distance Dmap à vol d'oiseau, ou la distance curviligne sur le graphe routier dans la base cartographique. 8 - Procédé selon l'une des revendications 1 à 4 caractérisé en ce que pour authentifier la position X(t) d'un élément mobile (1), l'indicateur de cohérence Ic(X) 20 est calculé à partir de l'altitude mesurée zr, comparée à celle zmap indiquée dans la base cartographique (23). 25 30