Brevet FR3007875A1 — publié le 20150102

La présente invention se rapporte à un procédé de protection d'un système de démarrage main libre pour les véhicules automobiles. L'invention concerne les véhicules équipés d'un système d'autorisation de démarrage du moteur du véhicule, associé en général à un système d'accès main libre, c'est-à-dire de détection de clé électronique pour le verrouillage ou le déverrouillage des ouvrants. Pour ces deux systèmes, des informations sont transmises entre un ou plusieurs émetteur/récepteurs localisés dans le véhicule et la clé électronique portée par l'utilisateur du véhicule. Dans ce but, les véhicules sont pourvus d'équipements électroniques destinés à apporter au conducteur un confort d'utilisation et de sécurité, tel que plus particulièrement les équipements de verrouillage ou déverrouillage du véhicule et de son démarrage. Dans ces équipements, la transmission est effectuée par des signaux hertziens, dans le domaine des basses fréquences, par exemple 125 kHz, pour leur émission à partir du véhicule, et dans un domaine de radiofréquences autorisé, par 15 exemple à 433 MHz ou 315 MHz, pour leur émission à partir de la clé électronique. L'utilisation de la clé physique pour le verrouillage ou le déverrouillage des ouvrants et pour le démarrage a ainsi été remplacée par un déverrouillage à distance et, pour le démarrage, par exemple par un appui sur un bouton, la clé restant dans la poche ou le sac du conducteur, à proximité dudit bouton. 20 Ces systèmes d'accès et de démarrage main libre sont dénommés par exemple système PASE, initiales de « accès passif et de démarrage moteur » (Passive Access and Start Engine en terminologie anglaise) ou PKES, initiales de « système d'accès et de démarrage passifs sans clé » (Passive Keyless Entry and Start en terminologie anglaise). Ces systèmes main libre sont particulièrement avantageux car le 25 conducteur n'a plus à fouiller dans sa poche ou son sac pour trouver la clé. Cependant, l'utilisation de communications hertziennes à la place de l'utilisation de clé physique présente un problème de sécurité : cette utilisation peut en effet permettre l'interception de ces communications hertziennes par des équipements électroniques tiers. Pour parer à ce risque, des échanges d'information sécurisés ont été 30 prévus dans les protocoles de verrouillage/déverrouillage et d'autorisation de démarrage. De manière plus précise, le protocole habituel d'un système d'accès et de démarrage main libre comprend les étapes suivantes : - une unité centrale de gestion embarquée dans le véhicule reste en attente d'une détection de demande de déverrouillage, pouvant 35 prendre la forme soit de l'approche d'une main près d'un capteur capacitif situé dans la poignée d'une portière, soit d'un appui sur une poignée de portière, soit encore sur un bouton de clé ; - suite à la demande de déverrouillage, l'émetteur du véhicule (situé dans l'habitacle et/ou dans les poignées de portière) envoie en réponse une demande codée d'identification à la clé ; ces messages sont envoyés en basse fréquence (dite LF) à 125 kHz et ont une portée courte, de 1,5 à 2 mètres environ ; - si une des clés électroniques du véhicule est dans le périmètre de cette portée, elle émet son identification dans la bande radiofréquence (par exemple 433 MHz ou 315 MHz) avec une portée entre 30 et 120 mètres environ ; - si la réponse de la clé électronique est reconnue conforme par le véhicule, celui-ci autorise le déverrouillage du véhicule ; - les portières se déverrouillent sans autre contact physique ; - si l'utilisateur du véhicule s'est installé à l'intérieur de son véhicule et souhaite le démarrer, l'unité centrale de gestion détecte alors par exemple un appui sur le bouton de démarrage, puis un autre échange d'information est engagé avec la clé électronique et celle-ci doit être à nouveau authentifiée. Si ces tests sont réussis, le véhicule démarre. Ce protocole d'accès et de démarrage main libre est illustré sur les figures 1 a et 1 b. Sur la figure 1 a est représenté le cas de fonctionnement standard, et sur la figure lb un cas d'accès et de démarrage main libre avec interception par un équipement électronique tiers. Sur ces deux figures, les échanges d'information entre le véhicule et sa clé ou une de ses clés électroniques sont transmis par des signaux entre deux échelles de temps « t », l'une pour le véhicule noté « C », et l'autre pour la clé électronique « K », le temps « t » s'écoulant dans le sens des flèches, du haut vers le bas sur l'exemple. L'échange de messages commence par l'émission d'un signal d'identification codé 5 par le véhicule C à l'attention de la clé électronique K, suite à la détection de l'approche d'une main ou d'un appui sur une poignée de portière ou sur un bouton de démarrage. Le signal d'identification codé 5 contient une demande d'identification codée. La clé électronique K fournit une réponse à cette demande avec le même code à l'aide d'un message contenu dans un signal de réponse codé 7 et reçu par le véhicule C. Cependant, la prise en compte de la demande codée par la clé électronique K peut être différée, et un signal de réponse différé 9 est alors transmis après une temporisation Al Cette interception est alors validée si la différence t2 - fi est supérieure à une durée prédéfinie, égale à 50 microsecondes dans cet exemple. Néanmoins, cette durée t2 peut être proche de la durée fi +All présentée ci-dessus (figure I a), qui correspond à une non-prise en compte immédiate par la clé électronique de la demande d'identification codée comme cela a été présenté précédemment. Et la trop grande proximité de ces deux durées, fi +A.tl et t2, peut alors créer une erreur d'interprétation de la part du véhicule. Cet exemple montre que la temporisation apportée (durée Alk) par la clé électronique K lors de la prise en compte de la demande d'identification en l'absence d'interception peut être équivalent au retard D apporté par l'interception réalisée par un équipement électronique tiers. Cette situation pénalise la prise de décision au niveau du véhicule concernant l'éventuelle présence d'un équipement électronique interceptant le signal. Il est donc 5 important de pouvoir différentier le retard Al Les figures 2a et 2b illustrent des exemples de signaux sinusoïdaux codés Sa et Sb d'enveloppes 12 et 10, tels que reçus par la clé électronique, respectivement, avec un facteur Q standard (figure 2a) et un facteur Q diminué selon invention (figure 2b). Que ce soit dans le cas d'un facteur Q standard ou diminué, le signal sinusoïdal reçu Sa ou Sb correspond au signal reçu par la clé K en référence aux figures 1 a ou 1 b, suite à la demande d'identification par des signaux d'interrogation codés 5 ou 5', respectivement dans le cas d'une transmission sans interception ou d'une transmission avec interception. Dans le cas d'un facteur Q diminué, l'enveloppe 10 du signal sinusoïdal reçu Sb présente une croissance dans le temps plus lente que pour l'enveloppe du signal sinusoïdal reçu Sa correspondant à un facteur Q standard. Les signaux sinusoïdaux reçus Sa et Sb représentent l'état dans lequel le signal à 125 kHz (périodes de 8 microsecondes) est reçu par la clé électronique et émis par le véhicule dans les deux cas cités. La caractéristique des deux enveloppes 12 et 10 de ces signaux sinusoïdaux reçus Sa et Sb est de n'augmenter que lentement. Cette augmentation lente est due au fait que le réseau électronique interne de la clé (non représenté) est paramétré de façon à ce que tout signal émis par le véhicule à la fréquence habituelle de 125 kHz soit reçu par la clé électronique dans un circuit électrique en résonance avec cette fréquence car, en cas de résonance, la portée du signal est augmentée, ce qui représente un avantage voulu pour un système main libre. Mais, dans le cas de la résonance, le temps d'établissement du signal jusqu'à son amplitude nominale est ralenti. L'enveloppe 12 du signal sinusoïdal reçu Sa augmente donc relativement lentement dans le cas d'un facteur Q standard. La diminution du facteur Q de la clé permet alors une montée plus rapide en amplitude de l'enveloppe 10 du signal sinusoïdal reçu Sb. Plus précisément, le seuil nominal de détection 16 des signaux sinusoïdaux reçus Sa et Sb reçus par la clé électronique peut varier en fonction du bruit entre deux seuils, un seuil maximum 15 et un seuil minimum 17, définissant une zone Z d'incertitude de détection. Ainsi, il apparaît que le nombre de sinusoïdes de début de la réception 11 du signal sinusoïdal reçu Sa dans la zone d'incertitude Z est sensiblement supérieur au nombre de sinusoïdes de début de la réception 12 du signal sinusoïdal reçu Sb (figure 2b) dans cette même zone d'incertitude. Les sinusoïdes situées dans la zone d'incertitude Z sont susceptibles de ne pas être décelées par la clé électronique. La détection des signaux sinusoïdaux reçus Sa et Sb étant validée au-delà de cette zone d'incertitude Z, mais seulement partiellement dans cette zone d'incertitude, il convient de modifier l'enveloppe 12 du signal pour qu'il la traverse plus rapidement grâce à une montée plus rapide de l'amplitude du signal reçu par la clé électronique, ce qui est avantageusement réalisé par la diminution du facteur Q de cette clé selon l'invention. Le diagramme de la figure 2b présente le signal sinusoïdal reçu par la clé avec un facteur Q diminué selon l'invention. Dans ce cas, seules deux périodes du signal sinusoïdal reçu Sb sont situées dans la durée d'incertitude 12. Cette durée d'incertitude 12 est donc égale, dans cet exemple, à deux fois la durée de la période, donc 2*8 = 16 microsecondes. Alors que dans le cas d'un facteur Q standard, dans l'enveloppe 13 (figure 2a), cette durée d'incertitude 11 de la sinusoïde Sa du signal reçu, est égale à trois fois la durée de la période, soit 3*8 = 24 microsecondes. Un facteur Q diminué réduit certes la portée de réception d'un signal, mais augmente sensiblement la protection contre une interception par un équipement électronique tiers. Dans ce cadre, l'invention propose de diminuer le facteur Q jusqu'à un niveau suffisamment bas afin de supprimer au maximum le nombre de sinusoïdes se trouvant dans la zone d'incertitude Z. Le logigramme de la figure 3 illustre les étapes d'un exemple de procédé de protection selon l'invention. A l'étape de début « Start » 30, l'unité centrale de gestion du véhicule reste en attente (test 34) de la détection « ack » (provenant de « acknowledge », c'est-à-dire « reconnaissance » en terminologie anglaise) d'une demande de déverrouillage. Cette demande peut prendre la forme de l'approche d'une main, d'un appui sur une poignée de portière ou de l'appui sur un bouton de clé. Sans demande de déverrouillage, le procédé revient à l'étape « Start ». En cas de détection d'une demande de déverrouillage au test 34, le véhicule envoie une demande d'identification codée (étape 38), dont chaque trame commence par un en-tête appelée WUP, à l'attention de la clé électronique et contenant également une demande de diminution du facteur Q faite par l'unité centrale de gestion à l'attention de la clé électronique. La transmission de la demande d'identification codée de cette étape 38 envoyée à la clé est une étape mise en oeuvre par les signaux d'interrogation codés 5 ou 5' du protocole entre le véhicule et la clé, respectivement sans ou avec interception (cf. figures la et -I b). Cette demande de diminution du facteur Q à l'attention de la clé électronique se fait dans cet exemple en utilisant une trame additionnelle existante envoyée à l'étape 38 et comportant un motif particulier, appelé motif de réveil, et ne comportant pas de donnée, pendant un temps prédéfini. Alternativement, il est possible de demander une diminution du facteur Q de la clé électronique en créant une trame additionnelle. Avantageusement, la clé électronique qui a reçu la demande de diminution du facteur Q réalise cette diminution de manière progressive après réception de la demande diminution du facteur Q ou de manière immédiate dès sa réception, afin de ne pas 20 perturber d'autres opérations en cours de réalisation par elle-même. La réponse de la clé électronique (étape 40) est également codée et se fait alors avec le facteur Q diminué. La réponse de la clé électronique est contenue dans le signal de réponse qui peut être retardé ou pas (signal 7' ou 7, cf. ci-dessus en référence à la figure -I b). 25 Puis la clé électronique reprend son facteur Q standard (étape 42). La durée Tm, somme des durées de réalisation des étapes 38 et 40, est calculée (étape 43), cette durée Tm étant alors comparée à une durée de référence T2 (test 44). Si la différence Tm-T2 est inférieure à un seuil prédéfini S, de 50 microsecondes dans l'exemple, le procédé conclut à une absence d'interception par un 30 équipement électronique tiers. Il se poursuit alors avec une étape d'autorisation d'accès « open » (étape 46) par déverrouillage des portières. Si la différence Tm-T2 est supérieure au seuil S, le procédé conclut à une présence d'interception par un équipement électronique tiers, et déclenche (étape 50) des alertes, par exemple : blocage du déverrouillage des ouvrants, alarmes sonores ou visuelles sur le véhicule. 35 Suite au déverrouillage des portières, une détection « ack » de demande de démarrage peut-être reçue par l'unité centrale de gestion au test 47, par exemple par un appui sur un bouton de démarrage. Ladite unité adresse alors à la clé électronique un ensemble d'étapes de protection 48 composé d'étapes 38, 40, 42 et 43 reprenant celles décrites lors de la demande d'autorisation d'accès, à savoir : - une demande de diminution du facteur Q faite par l'unité centrale de gestion à l'attention de la clé électronique incluse dans la demande d'identification codée faite par l'unité centrale de gestion à l'attention de la clé électronique (étape 38), - une réponse de la clé électronique avec un facteur Q diminué (étape 40), - une reprise par la clé de son facteur Q standard (étape 42), et - une mesure T'm de la somme des durées de ces étapes de protection (étape 43). De même que pour les étapes de protection concernant l'autorisation d'accès, cette durée T'm est comparée à une durée de référence T'2 (test 51 similaire au test 44). Si, lors de ce test 51, la différence T'm - T'2 est inférieure à un seuil prédéfini S', le démarrage IGN est déclenché (étape 52). Si la différence T'm - T'2 est supérieure au seuil prédéfini S', l'unité centrale de gestion conclut à la présence d'un équipement électronique tiers. Des alertes sont alors déclenchées (étape 54), par exemple : blocage du démarrage, alarmes sonores ou visuelles sur le tableau de bord. REVENDICATIONS1. Procédé de protection d'un système d'accès et/ou de démarrage main libre d'un véhicule automobile équipé d'au moins une clé électronique comportant une étape de demande d'identification codée (38) émise par une antenne d'une unité centrale de gestion dudit système sous forme d'un signal d'interrogation codé (5, 5') à destination de la clé électronique (K), une étape de réponse (40) de la clé électronique (K) donnant son identité, et une étape d'autorisation d'accès (46) et/ou de démarrage du véhicule (52), caractérisé en ce que ledit procédé comporte en outre, avant l'étape d'autorisation d'accès (46) et/ou de démarrage du véhicule (52), des étapes complémentaires de protection consistant à : - adapter l'amplitude d'au moins un signal sinusoïdal reçu (Sa) par la clé lors de l'étape de demande d'identification codée (38) pour atteindre au plus tôt un seuil de détection d'amplitude (15, 16, 17) de la clé électronique (K) ; - cesser ladite adaptation d'amplitude (42) dès que la clé électronique (K) est identifiée à l'étape de réponse (40) ; - mesurer (43) une somme (Tm, T'm) de durées de transmission du signal d'interrogation codé (5, 5') et du signal de réponse (7, 7', 9) de la clé électronique ; - comparer (44, 51) la somme des durées mesurées (Tm, T'm) à une durée de référence (S, S)' ; - interdire l'accès et/ou le démarrage du véhicule lorsqu'un écart entre cette somme de durées mesurées (Tm, T'm) et la durée de référence (T2, T'2) est supérieure à un seuil prédéfini (S, S'), et - déclencher des alertes (50, 54) lorsque l'écart entre cette somme de durées mesurées (Tm, T'm) et la durée de référence (T2, T'2) est supérieur au seuil prédéfini (S, S'). 2. Procédé de protection selon la revendication précédente, caractérisé en ce que l'adaptation de l'amplitude du signal sinusoïdal reçu (Sa, Sb) par la clé électronique lors de l'étape de demande d'identification codée (38) est réalisée par une diminution (Q-) du facteur de qualité de ladite clé, appelé « facteur Q ». 3. Procédé de protection selon la revendication précédente, caractérisé en ce que la diminution (Q-) du facteur Q est demandée par l'unité centrale de gestion lors de l'émission de la demande d'identification codée (38). 4. Procédé de protection selon la revendication 3, caractérisé en ce que la demande de diminution du facteur Q de la clé consiste en l'émission d'une trame additionnelle et sans donnée de durée prédéfinie. 5. Procédé de protection selon la revendication 3, caractérisé en ce que la 5 demande de diminution du facteur Q de la clé consiste en un changement de longueur du signal d'interrogation codé (5, 5'). 6. Procédé de protection selon l'une quelconque des revendications 4 ou 5, caractérisé en ce que la diminution du facteur Q de la clé électronique se réalise de manière immédiate dès réception de la demande de diminution du facteur Q. 10 7. Procédé de protection selon l'une quelconque des revendications 4 ou 5, caractérisé en ce que la diminution du facteur Q de la clé électronique se réalise de manière progressive après réception de la demande diminution du facteur Q. 8. Procédé de protection selon l'une quelconque des revendications précédentes, caractérisé en ce que la somme des durées mesurées (Tm, T'm) est 15 calculée à partir de plusieurs capteurs répartis sur le véhicule. 9. Procédé de protection selon l'une quelconque des revendications précédentes, caractérisé en ce que la durée de référence (T2, T'2) correspond à une durée d'une communication hertzienne aller et retour entre le véhicule et la clé électronique sans interception de communication. 20 10. Procédé de protection selon l'une quelconque des revendications précédentes, caractérisé en ce que le seuil (S, S') au-dessus duquel se déclenchent des alertes est compris entre 5 et 100 millisecondes, de préférence entre 8 et 64 microsecondes.