Brevet FR3006783A1 — publié le 20141212

La présente invention concerne les systèmes électroniques sécurisés. De tels systèmes comprennent au moins une unité de traitement, telle un processeur ou un ASIC (acronyme anglais pour « Application Specific Integrated Circuit », c'est-à-dire un circuit intégré dédié à une application), et sont conçus pour piloter des organes dont le comportement pourrait, en cas de défaillance, causer des blessures ou des morts d'hommes. De tels organes peuvent être, dans le domaine automobile par exemple, tout ou partie d'un contrôle moteur, d'une assistance de direction ou de freinage. De tels organes peuvent encore être des commandes de vol d'aéronef, ou des appareillages médicaux. Compte tenu de leur criticité, ces systèmes électroniques sécurisés sont équipés de mécanismes de surveillance, afin de réduire les probabilités de défaillance. Ils doivent être conçus selon des préconisations telles que celles, par exemple, indiquées dans la norme ISO 26 262, pour le domaine automobile. La sécurité d'un système électronique sécurisé se construit par l'analyse de tous les cas théoriques de défaillance et par la compréhension de tous les cas pratiques de défaillance effectivement rencontrés et remontés durant la vie dudit système électronique sécurisé. Pour cela il convient de pouvoir enregistrer un maximum de paramètres d'un système électronique sécurisé durant son fonctionnement, y compris jusqu'aux derniers instants précédant une défaillance. Ainsi, lors d'une opération ultérieure de diagnostic, une analyse de ces paramètres peut permettre de comprendre le contexte et de déterminer la cause de la défaillance. Dans les systèmes électroniques sécurisés actuels, seule l'unité de traitement est capable d'enregistrer des défauts de manière persistante. Ces défauts sont limités aux seuls défauts diagnostiqués par l'unité de traitement. Ainsi, par exemple, les défauts des organes pilotés par l'unité de traitement entrainant un mauvais fonctionnement de l'unité de traitement ne peuvent être enregistrés. De plus l'unité de traitement est l'élément le plus faillible d'un système électronique sécurisé. Ceci est, entre autres causes, lié à sa plage de fonctionnement électrique plus réduite, à sa sensibilité aux rayonnements cosmiques (également dénommée SEU en anglais pour « Single Event Upset »), etc. Aussi est-il recherché un outil d'enregistrement ne présentant pas ces inconvénients, et augmentant le périmètre de diagnostic d'un système électronique sécurisé. L'invention a pour objet un système électronique sécurisé comprenant une unité de traitement et au moins un organe, piloté par l'unité de traitement, comprenant 35 encore un module espion apte à recueillir un défaut et à l'enregistrer de manière persistante. Selon une autre caractéristique de l'invention, un défaut est issu dudit au moins un organe ou de ladite unité de traitement. Selon une autre caractéristique de l'invention, l'enregistrement d'un défaut est horodaté. Selon une autre caractéristique de l'invention, le système électronique sécurisé comprend encore un bus de sécurité, dédié au transport des défauts, ledit bus de sécurité reliant au moins l'unité de traitement, ledit au moins un organe et le module espion. D'autres caractéristiques, détails et avantages de l'invention ressortiront plus clairement de la description détaillée donnée ci-après à titre indicatif en relation avec des dessins sur lesquels : - la figure 1 illustre schématiquement, un système électronique sécurisé selon l'art antérieur, - la figure 2 illustre schématiquement, un système électronique sécurisé selon l'invention. La figure 1 illustre un système électronique sécurisé 1 selon l'art antérieur. Un système électronique sécurisé 1 comprend au moins une unité de traitement 2 en charge du pilotage d'au moins un organe 3, 4. Ici deux organes 3, 4 sont représentés à titre 20 indicatif. Dans la présente, un organe 3, 4 désigne selon les cas, l'actionneur de l'organe lui-même, telle une électrovanne d'admission de carburant, mais le plus souvent le module électronique en charge de sa gestion et de son interfaçage avec l'unité de traitement 2 et les autres composants du système électronique sécurisé 1. 25 L'unité de traitement 2 pilote ces organes 3, 4 au moyen de moyens de communication. Ces moyens de communication permettent de transmettre dans un sens des ordres ou commandes de l'unité de traitement 2 à l'attention des organes 3, 4 et le cas échéant de transmettre dans le sens opposé des états des organes 3, 4 ou des compte rendus d'exécution retournés par les organes 3, 4 afin d'informer l'unité de 30 traitement 2. Ces moyens de communications sont ici figurés par un bus 8, indiqué en trait tiret-point, assurant une liaison de communication bidirectionnelle entre l'unité de traitement 2, les organes 3, 4 et les éventuels autres composants 5 du système électronique sécurisé 1. D'autres composants peuvent encore être présents dans le système électronique sécurisé 1 et le réseau 8 est alors prolongé vers ces composants, 35 tel que figuré par la flèche 9. Toutes les informations nécessaires au fonctionnement nominal du système électronique sécurisé 1 transitent par le bus 8. Un tel système électronique sécurisé 1 peut être embarqué dans un véhicule (non représenté). Le système électronique 1 est dit sécurisé en ce qu'il comporte plusieurs mécanismes de contrôle des différents composants 2, 3, 4 du système électronique 5 sécurisé 1. Un premier de ces mécanismes de contrôle est assuré par l'unité de traitement 2. L'unité de traitement 2 est apte à réaliser périodiquement un diagnostic de bon fonctionnement de chacun des organes critiques 3, 4 placés sous son contrôle. Pour chacun de ces organes critiques 3, 4 l'unité de traitement 2 dispose d'une ligne 10 d'activation et de désactivation 11, 12, figurée en trait tireté. Une telle ligne d'activation et de désactivation 11, 12 véhicule un signal d'activation, typiquement tout ou rien, dont la présence est requise pour que l'organe associé 3, 4 puisse fonctionner. A défaut de ce signal d'activation, l'organe 3, 4 est placé dans un état inactif sécurisé. L'unité de traitement 2 peut ainsi contrôler l'activation de l'organe 3, 4 et commander une 15 désactivation de l'organe 3, 4, par exemple lorsqu'elle détecte un dysfonctionnement. Dans la configuration illustrative des figures, une ligne 11 permet à l'unité de traitement 2 d'activer ou désactiver l'organe 3 et une ligne 12 permet à l'unité de traitement 2 d'activer ou désactiver l'organe 4. Ceci concerne principalement les organes 3, 4 critiques. Ces organes 3, 4 20 sont jugés critiques en ce qu'une défaillance, ou une commande de pilotage erronée pourrait provoquer blessure et/ou mort humaine. L'unité de traitement 2 peut encore piloter d'autres organes (non représentés) non critiques qui ne sont alors pas assujettis à une telle ligne d'activation et de désactivation 11, 12. Un autre mécanisme de contrôle est assuré par un module de sécurité 5. Ce 25 module de sécurité 5 est en charge de contrôler l'unité de traitement 2. Il peut être implémenté par exemple au moyen d'un processeur ou d'un ASIC. Ce module de sécurité 5 est relié au système électronique sécurisé 1 par le bus 8. Il peut ainsi observer tous les échanges entre l'unité de traitement 2 et le ou les organes 3, 4. Il peut encore dialoguer directement avec l'unité de traitement 2. Ceci lui permet de mettre en place des 30 moyens de surveillance et de diagnostic de l'état de fonctionnement de l'unité de traitement 2 afin de détecter un mauvais fonctionnement ou une défaillance. Le module de sécurité 5 dispose pour chacun des organes critiques 3, 4 d'une ligne d'activation et de désactivation 13, 14, figurée en trait pointillé. Une telle ligne d'activation et de désactivation 13, 14 est similaire aux lignes d'activation et de 35 désactivation 11, 12 de l'unité de traitement 2. Elle véhicule un signal d'activation, typiquement tout ou rien, dont la présence est requise pour que l'organe associé 3, 4 puisse fonctionner. A défaut de ce signal d'activation, l'organe 3, 4 est placé dans un état inactif sécurisé. Le module de sécurité 5 peut ainsi contrôler l'activation de l'organe 3, 4 et commander une désactivation de l'organe 3, 4, par exemple lorsqu'il détecte un mauvais fonctionnement ou une défaillance de l'unité de traitement 2. Dans la configuration illustrative des figures, une ligne 13 permet au module de sécurité 5 de désactiver l'organe 3 et une ligne 14 permet au module de sécurité 5 de désactiver l'organe 4. Selon l'art antérieur, tout défaut diagnostiqué, par exemple par les organes 3, 4 ou par le module de sécurité 5 est transmis à l'unité de traitement 2 pour être archivé. Selon une caractéristique avantageuse de l'invention, il est ajouté, à un tel système électronique sécurisé 1, un module espion 6, tel qu'illustré à la figure 2. Un tel module espion 6 est apte à recueillir dans le système électronique sécurisé 1 des informations et particulièrement toute information relative à un fonctionnement inhabituel, à un mauvais fonctionnement, à une défaillance ou plus généralement, toute information qui peut aider à réaliser un diagnostic de fonctionnement du système électronique sécurisé 1 et que l'on nomme de manière générique défaut. Ainsi, par exemple, une information d'état nominal peut être enregistrée périodiquement en tant que défaut, si sa valeur, avant une défaillance du système électronique sécurisé 1, permet de renseigner sur les causes de ladite défaillance. Le module espion 6 continue à fonctionner avantageusement même lorsque 20 l'unité de traitement 2 subit un dysfonctionnement. Le module espion 6 est encore apte à enregistrer ces informations de manière persistante. Pour cela, le module espion 6 est connecté aux différents composants 2, 3, 4 du système électronique sécurisé 1 par des moyens de communication 8. La collecte de 25 défauts peut se faire de manière active, le module espion 6 observant ou interrogeant un composant 2, 3, 4 afin d'obtenir en réponse une information souhaitée. La collecte peut encore se faire de manière passive, le module espion 6 recevant une information spontanément transmise par le composant 2, 3, 4, par exemple à intervalles régulier ou selon un rendez-vous préétabli. 30 Ensuite, le module espion 6 réalise un enregistrement de ces défauts en les stockant de manière persistante. On entend ici par persistance, un enregistrement rémanent à une coupure d'alimentation, possible en cas de défaillance. Ceci suppose que le module espion 6 dispose de mémoire non volatile pour réaliser ledit enregistrement. Ainsi les défauts enregistrés restent accessibles même après une défaillance 35 accompagnée d'une mise hors tension, y compris du module espion 6. Un opérateur de diagnostic, peut accéder à la mémoire de stockage du module espion 6, par exemple via un moyen de diagnostic embarqué (« On Board Diagnose » ou OBD en anglais) et lire les défauts enregistrés, lors d'une analyse a posteriori de la défaillance. La mémoire de stockage du module espion 6 peut aussi être accédée par l'unité de traitement 2. Une fois que les informations enregistrées ont été exploitées et que l'analyse est terminée, l'opérateur de diagnostic peut choisir de réinitialiser et d'effacer ladite mémoire d'enregistrement afin de la libérer pour être à nouveau disponible pour être utilisée par le module espion 6. Le module espion 6 est apte à recueillir ainsi des informations/défauts en provenance de tous les composants 2, 3, 4 du système électronique sécurisé 1. Avantageusement par rapport à l'art antérieur où seul l'unité de traitement 2 pouvait enregistrer des informations, le module espion 6 est apte à recueillir des défauts issus de l'unité de traitement 2, mais aussi et surtout, des défauts issus des organes 3, 4 ou encore de tout autre composant du système électronique sécurisé 1, et ce y compris si l'unité de traitement 2 n'est plus fonctionnelle. Ceci est particulièrement avantageux lors de l'analyse d'une défaillance car ainsi l'opérateur de diagnostic dispose d'une vision plus large du système électronique sécurisé 1 et du contexte dans lequel s'est produit le mauvais fonctionnement ou la défaillance. De manière avantageuse, l'enregistrement d'un défaut est accompagné de sa date de survenance. Pour cela le module espion 6 comprend un moyen d'horodatage lui permettant, lors de l'enregistrement, d'associer une date/heure à un défaut. Selon une autre caractéristique avantageuse de l'invention, il est ajouté, à un système électronique sécurisé 1, un bus de sécurité 7. Ce bus de sécurité 7 est dédié principalement ou de manière exclusive au transport des défauts. Tel qu'illustré à la figure 2, un tel bus de sécurité 7 relie au moins le module espion 6 avec l'unité de traitement 2, mais aussi le ou les organes 3, 4. Au moins les organes critiques 3, 4 sont reliés au bus de sécurité 7. Les organes non critiques peuvent aussi être reliés au bus de sécurité 7. D'autres composants peuvent encore être présents dans le système électronique sécurisé 1 et le réseau de sécurité 7 peut être prolongé vers ces composants, tel que figuré par la flèche 10. Un tel bus de sécurité 7 présente de nombreux avantages. Un défaut, lorsqu'il apparait ou est créé dans un des composants du système électronique sécurisé 1, peut avantageusement être transmis au moyen du bus de sécurité 7. Ainsi le module espion 6, qui surveille avantageusement le bus de sécurité 7, voit le défaut et peut ainsi aisément le recueillir pour l'enregistrer. De plus, l'unité de traitement 2, si elle n'est pas l'émettrice du défaut, et si elle surveille le bus de sécurité 7, peut être informée de l'existence de ce défaut. Un tel bus de sécurité 7 dédié au transport des défauts ne risque pas d'être empêché de transmettre un défaut du fait d'une surcharge ou d'une indisponibilité due à une autre utilisation. Avantageusement le bus de sécurité 7 n'est pas confondu avec le bus nominal 8 afin de ne pas risquer de surcharger ou de perturber ni ledit bus nominal 8, ni le 5 bus de sécurité 7. Le fait que le bus de sécurité 7 soit séparé de tout autre lien de communication et dédié au seul transport des défauts, est avantageux en ce que le bus de sécurité 7 peut être particulièrement adapté à sa fonction. Il peut ainsi être simplifié et durci. Ainsi un bus de sécurité 7 peut physiquement avantageusement être implémenté 10 sur un nombre réduit de lignes. Un protocole durci peut encore être mis en oeuvre, privilégiant la sécurité ou l'intégrité des défauts transmis, plutôt que, par exemple, le débit. Un bus de sécurité 7 peut avantageusement transporter l'énergie nécessaire à son fonctionnement autonome. Il a été vu qu'un système électronique sécurisé 1 comprend typiquement un 15 module de sécurité 5. Un tel module de sécurité 5 est apte à surveiller l'unité de traitement 2 et à inhiber les organes 3, 4 critiques lorsqu'un mauvais fonctionnement de l'unité de traitement 2 est détecté, afin de limiter les risques. Selon un mode de réalisation, un module espion 6, tel que décrit précédemment peut être intégré à ce module de sécurité 5. REVENDICATIONS1. Système électronique sécurisé (1) comprenant une unité de traitement (2) et au moins un organe (3, 4), piloté par l'unité de traitement (2), caractérisé en ce qu'il comprend encore un module espion (6) apte à recueillir un défaut et à l'enregistrer de manière persistante. 2. Système électronique sécurisé (1) selon la revendication 1, où un défaut est issu dudit au moins un organe (3, 4) ou de l'unité de traitement (2). 3. Système électronique sécurisé (1) selon l'une quelconque des revendications 1 ou 2, où l'enregistrement d'un défaut est horodaté. 4. Système électronique sécurisé (1) selon l'une quelconque des revendications 1 à 3, comprenant encore un bus de sécurité (7), dédié au transport des défauts, ledit bus de sécurité (7) reliant au moins l'unité de traitement (2), ledit au moins un organe (3, 4) et le module espion (6).