Brevet FR3083948A1 — publié le 20200117

Procédé et système de gestion du fonctionnement d'un groupe de plusieurs objets connectés Des modes de mise en oeuvre et de réalisation de l'invention concernent l'internet des objets, communément connu de l'homme du métier sous l'acronyme anglosaxon IoT (« Internet of Things » en anglais), et plus particulièrement les objets connectés au réseau d'internet au sens large, c'est-à-dire y compris par exemple le réseau local (« Local Area Network » LAN en anglais), le réseau étendu (« Wide Area Network » WAN en anglais), destinés à communiquer mutuellement des données informatiques et à réaliser des fonctionnements pratiques et plus ou moins simples, tels que les détecteurs d'intensité lumineuse connectés, les détecteurs de température connectés, les détecteurs d'ouverture porte connectés et les commutateurs électriques connectés. Généralement, un objet connecté reste toujours en communication avec un autre objet connecté ou un serveur informatique via un réseau d'internet et est prêt pour une ou plusieurs mises à jour de son ou ses microprogrammes (« firmware » en anglais) afin de corriger des erreurs de fonctionnements courants ou d'acquérir de nouvelles fonctionnalités. Néanmoins, de telles communications via le réseau d'internet ne sont pas toujours sécurisées et ouvrent malheureusement souvent la possibilité de modifications de l'objet connecté via un ou des logiciels malveillants, voire la possibilité d'un piratage informatique (« hacking » en anglais), ce qui pourrait résulter en un dommage important Une solution classique consiste à utiliser pour chaque objet connecté un mécanisme basé sur des ressources cryptographiques, par exemple une signature numérique, de façon à vérifier l'autorisation de chaque intervention de cet objet connecté. Toutefois, ce mécanisme est déployé et exécuté de façon individuelle sur chaque objet connecté. 2 Une fois que les logiciels malveillants ou les piratages informatiques ont réussi, malgré tout, à prendre le contrôle de l'objet connecté, ce dernier ne répond généralement plus à des requêtes de sécurité basées par exemple sur la signature numérique et émis par 5 exemple par un serveur à distance Au vu du serveur à distance, l'objet connecté est déconnecté ou est en panne. Par conséquent, il n'est pas toujours évident d'identifier l'état de fonctionnement d'un objet connecté et il est d'autant plus difficile de restaurer de façon automatique un objet connecté potentiellement 10 modifié ou piraté Il existe ainsi un besoin de proposer une solution technique à faible complexité, à faible consommation énergétique de communication et à faible coût permettant de renforcer la sécurité d'objets connectés mutuellement couplés par 15 des auto-évaluations entre eux, des vérifications groupées pour chaque intervention des objets connectés, et d'éventuelles restaurations pour le ou les objets connectés modifiés ou piratés, 20 sans nécessairement avoir besoin de mettre à contribution un serveur qui est généralement chargé et susceptible d'être attaqué et neutralisé par des pirates informatiques (« hackers » en anglais) Selon un aspect, il est proposé un procédé de gestion du fonctionnement d'un groupe de plusieurs objets connectés Ce procédé 25 comprend des échanges d'informations entre au moins deux objets connectés dudit groupe, relatives à au moins un état de chaque objet connecté participant à ces échanges d'informations, et un déclenchement d'au moins une action sur au moins un objet 30 connecté ayant participé à ces échanges en fonction des informations reçues par cet objet. Un tel procédé de gestion du fonctionnement d'objets connectés par groupe permet avantageusement de réduire la possibilité de modifications via des logiciels malveillants et le risque de piratages informatiques car les objets connectés d'un même groupe peuvent communiquer entre eux de façon à réaliser des auto-évaluations périodiques (entre eux) et d'éventuelles restaurations si une anormalité du fonctionnement d'un ou de plusieurs objets connectés du groupe est 5 détectée Il convient de noter que la taille et la topologie dudit groupe peuvent par exemple ici être dynamiques Autrement dit, un objet connecté peut être dynamiquement associé audit ou dissocié dudit groupe de façon à augmenter le caractère imprévisible dudit groupe. 10 Ainsi, la sécurité dudit groupe est avantageusement renforcée. Selon un mode de mise en oeuvre, lesdits échanges comprennent des échanges périodiques entre lesdits objets connectés du groupe, de premières informations relatives à un état de fonctionnement des objets connectés, et 15 ledit déclenchement comprend une délivrance d'un premier signal d'avertissement si l'état de fonctionnement d'au moins un objet connecté est erroné et/ou une délivrance d'un deuxième signal d'avertissement en cas d'échec de la transmission par l'un au moins des objets aux autres objets, de premières informations relatives à son 20 état de fonctionnement Il convient de noter qu'un échec de transmission des informations relatives à l'état de fonctionnement d'un objet connecté signifie souvent une panne de l'objet connecté ou un piratage informatique de l'objet connecté 25 Un tel procédé permet un contrôle périodique sur l'état de fonctionnement de chaque objet connecté du groupe de façon à identifier un ou des objets connectés ayant des états de fonctionnement irréguliers. Lesdits échanges peuvent par exemple comprendre en outre des 30 échanges périodiques entre lesdits objets connectés du groupe, d'au moins un paramètre mesuré localement par chaque objet connecté, et ledit déclenchement peut par exemple comprendre en outre la délivrance du deuxième signal d'avertissement si 4 les échanges périodiques des premières informations sont réussis, tous les états de fonctionnement sont identiques, et ledit au moins un paramètre mesuré d'au moins un objet 5 connecté dépasse une gamme nominale de la valeur nominale dudit au moins un paramètre ou une évolution dudit au moins un paramètre mesuré d'au moins un objet connecté se distingue de celle constatée pour le reste dudit groupe Avantageusement, on peut surveiller le bon fonctionnement 10 d'un objet connecté en comparant un même paramètre mesuré par les objets connectés d'un groupe Lorsque le paramètre mesuré par un objet connecté est trop différent de la valeur nominale, cet objet connecté peut être en panne ou avoir été modifié ou piraté Il convient de noter qu'une évolution dudit au moins un 15 paramètre mesuré d'au moins un objet connecté se distingue de celle constatée pour le reste du groupe lorsque cette évolution est par exemple croissante par rapport à des évolutions décroissantes constatées par le reste dudit groupe. Selon un autre mode de mise en oeuvre, lesdits échanges 20 comprennent des échanges à la suite d'une demande de mise à jour de microprogramme d'au moins un objet connecté du groupe, de deuxièmes informations représentatives d'un état de demande de mise à jour de microprogramme des objets connectés, et ledit déclenchement comprend une suspension de ladite 25 demande de mise à jour de microprogramme si au moins un échange des deuxièmes informations n'est pas réussi ou si l'état de demande de mise à jour dudit au moins un objet connecté faisant ladite demande de mise à jour est différent de l'état de demande de mise à jour d'au moins un autre objet connecté du groupe. 30 Avantageusement, avec un tel procédé, la demande de mise à jour de chaque objet connecté du groupe est vérifiée en la comparant avec celles des autres objets connectés du groupe de façon à renforcer la sûreté du groupe 5 Selon un autre mode de mise en oeuvre, le procédé comprend en outre une étape d'élection des objets connectés du groupe de façon à déterminer un objet connecté élu Lesdits échanges comprennent des échanges dans une durée 5 choisie à la suite d'une mise à jour de microprogramme de l'objet connecté élu, de troisièmes informations représentatives à un état de mise à jour de microprogramme de l'objet élu, et ledit déclenchement comprend une mise à jour de microprogramme des autres objets connectés 10 du groupe si l'état de mise à jour de l'objet connecté élu est positif, ou une suspension de mises à jour de microprogramme des autres objets connectés du groupe et une délivrance d'un troisième signal d'avertissement si l'état de mise à jour de l'objet connecté élu est négatif ou au moins un échange des troisièmes informations des objets 15 connectés n'est pas réussi Un état positif correspond par exemple à une mise à jour réussie du microprogramme tandis qu'un état négatif correspond par exemple à une mise à jour qui a échoué Autrement dit, la mise à jour de microprogramme des autres 20 objets connectés du groupe est effectuée seulement si l'état de mise à jour de l'objet connecté élu ayant déjà eu la mise à jour est positif. Sinon, un signal d'avertissement est généré de façon à signaler un éventuel problème de sûreté pour les objets connectés du groupe. A titre d'exemple non limitatif, lesdits échanges peuvent 25 comprendre des échanges entre les objets connectés de quatrièmes informations représentatives d'un état de sûreté des objets connectés, et ledit déclenchement peut comprendre une détermination d'un état authentique de tous les objets 30 connectés si les états de sûreté de tous les objets connectés sont identiques, et une délivrance d'un quatrième signal d'avertissement et une détermination d'un état d'insécurité si l'état de sûreté d'au moins un objet connecté est différent de ceux des autres objets connectés 6 Un tel procédé permet aussi avantageusement une vérification de l'état de sûreté, par exemple via une signature numérique, des objets connectés au niveau du groupe Selon encore un autre mode de mise en oeuvre, lesdits échanges 5 comprennent des échanges entre un premier objet connecté du groupe ayant un microprogramme défaillant et au moins d'un deuxième objet connecté du groupe, de cinquièmes informations représentatives d'un état de fonctionnement de microprogramme du premier objet connecté et dudit au moins un deuxième objet connecté, et 10 ledit déclenchement comprend si l'état de fonctionnement de microprogramme dudit au moins un deuxième objet connecté est positif, une délivrance au premier objet connecté d'un microprogramme opérationnel dudit au moins un deuxième objet connecté et une mise à jour de microprogramme du premier objet 15 connecté avec ledit microprogramme opérationnel Un état de fonctionnement de microprogramme positif correspond par exemple à un fonctionnement correct ou opérationnel du microprogramme Là encore, un tel procédé permet de repérer un objet connecté 20 défaillant ou piraté du groupe à l'aide d'un autre objet connecté du groupe qui présente un bon fonctionnement Ladite délivrance peut par exemple être effectuée à partir dudit au moins un deuxième objet connecté ou d'un serveur distinct à di stance 25 A titre indicatif non limitatif, l'état de fonctionnement de microprogramme comprend la version du microprogramme utilisé et un nombre d'erreurs détectées dans une durée choisie, ou encore une signature numérique du microprogramme Selon un autre mode de mise en oeuvre, lesdits objets connectés 30 sont identiques ou compatibles, et lesdits échanges et ladite au moins une action sont protégés par des cryptographies symétriques Une telle clé symétrique est propre audit groupe et ne permet donc pas à un pirate informatique de s'introduire dans ledit groupe, un objet répliqué n'ayant pas la clé symétrique 7 En variante, lesdits objets connectés peuvent par exemple être identiques ou compatibles Lesdits échanges et ladite au moins une action peuvent par exemple être protégés par des cryptographies asymétriques. 5 Selon un autre aspect, il est proposé un système de gestion du fonctionnement d'un groupe de plusieurs objets connectés mutuellement couplés et comportant un module de contrôle associé à chaque objet. Chaque module de contrôle possède 10 des moyens d'échange configurés pour échanger entre au moins deux objets connectés du groupe, des informations relatives à au moins un état de chaque objet connecté participant à ces échanges des informations, et des moyens de traitement configurés pour déclencher au moins 15 une action sur au moins un objet connecté ayant participé à ces échanges en fonction des informations reçues par cet objet Un tel système permet avantageusement une meilleure protection contre des attaques informatiques car ledit module de contrôle est mieux isolé des moyens d'entrée de données, tels que des 20 périphériques et interfaces d'échanges de données, incorporés dans chaque objet connecté Selon un mode de réalisation, les moyens d'échange sont configurés pour échanger périodiquement entre lesdits objets connectés du groupe, de premières informations relatives à un état de 25 fonctionnement des objets connectés, et les moyens de traitement sont configurés pour délivrer un premier signal d'avertissement si l'état de fonctionnement d'au moins un objet connecté est erroné et/ou un deuxième signal d'avertissement en cas d'échec de la transmission par l'un au moins des objets aux 30 autres objets, de premières informations relatives à son état de fonctionnement A titre d'exemple non limitatif, les moyens d'échange peuvent en outre être configurés pour échanger périodiquement entre lesdits 8 objets connectés du groupe au moins un paramètre mesuré localement par chaque objet connecté, et les moyens de traitement peuvent en outre être configurés pour délivrer le deuxième signal d'avertissement si 5 les échanges des premières informations sont réussis, tous les états de fonctionnement sont identiques, et ledit au moins un paramètre mesuré d'au moins un objet connecté dépasse une gamme nominale de la valeur nominale dudit au moins un paramètre ou une évolution dudit au moins un paramètre 10 mesuré d'au moins un objet connecté se distingue de celle constatée pour le reste dudit groupe Selon un autre mode de réalisation, les moyens d'échange sont en outre configurés pour échanger à la suite d'une demande de mise à jour de microprogramme d'au moins un objet connecté du groupe, de 15 deuxièmes informations représentatives d'un état de demande de mise à jour de microprogramme des objets connectés, et, les moyens de traitement sont en outre configurés pour suspendre ladite demande de mise à jour de microprogramme si au moins un échange des deuxièmes informations n'est pas réussi ou si 20 l'état de demande de mise à jour dudit au moins un objet connecté faisant ladite demande de mise à jour est différent de l'état de demande de mise à jour d'au moins un autre objet connecté du groupe Selon encore un autre mode de réalisation, ledit module de contrôle comprend en outre un module d'élection configuré pour 25 déterminer un objet connecté élu dans le groupe. Les moyens d'échange sont en outre configurés pour échanger dans une durée choisie à la suite d'une mise à jour de microprogramme de l'objet connecté élu, de troisièmes informations représentatives à un état de mise à jour de microprogramme de l'objet élu, et 30 les moyens de traitement sont en outre configurés pour mettre à jour des microprogrammes des autres objets connectés du groupe si l'état de mise à jour de l'objet connecté élu est positif, ou suspendre des mises à jour de microprogrammes des autres objets connectés du groupe et délivrer un troisième signal 9 d'avertissement si l'état de mise à jour de l'objet connecté élu est négatif ou au moins un échange des troisièmes informations des objets connectés n'est pas réussi A titre d'exemple non limitatif, les moyens d'échange peuvent 5 en outre être configurés pour échanger entre les objets connectés de quatrièmes informations représentatives d'un état de sûreté des objets connectés, et les moyens de traitement peuvent en outre être configurés pour déterminer un état authentique de tous les objets connectés si 10 les états de sûreté de tous les objets connectés sont identiques, et délivrer un quatrième signal d'avertissement et déterminer un état d'insécurité si l'état de sûreté d'au moins un objet connecté est différent de ceux des autres objets connectés Selon un autre mode de réalisation, les moyens d'échange sont 15 en outre configurés pour échanger entre un premier objet connecté du groupe ayant un microprogramme défaillant et au moins un deuxième objet connecté du groupe, des cinquièmes informations représentatives d'un état de fonctionnement de microprogramme du premier objet connecté et dudit au moins un deuxième objet connecté, et 20 les moyens de traitement sont en outre configurés pour délivrer, si l'état de fonctionnement de microprogramme dudit au moins un deuxième objet connecté est positif, audit premier objet connecté un microprogramme opérationnel dudit au moins un deuxième objet connecté, et 25 mettre à jour le microprogramme du premier objet connecté avec ledit microprogramme opérationnel Les moyens de traitement peuvent par exemple être configurés pour délivrer ledit microprogramme opérationnel à partir dudit au moins un deuxième objet connecté ou d'un serveur distinct à distance 30 L'état de fonctionnement de microprogramme peut par exemple comprendre la version du microprogramme utilisé et un nombre d'erreurs détectées dans une durée choisie, ou encore une signature numérique du microprogramme 10 Selon un autre mode de réalisation, lesdits objets connectés sont identiques ou compatibles, et chaque module de contrôle comprend en outre des moyens de protection configurés pour protéger les moyens d'échange et les moyens de traitement par des 5 cryptographies symétriques. En variante, lesdits objets connectés peuvent par exemple être identiques ou compatibles. Chaque module de contrôle peut par exemple comprendre en outre des moyens de protection configurés pour protéger les moyens d'échange et les moyens de traitement par 10 des cryptographies asymétriques. A titre indicatif non limitatif, lesdits objets connectés peuvent par exemple être des objets choisis dans le groupe formé par les objets : ampoules connectées, capteurs connectés, enceintes connectées, et appareils de surveillance connectés. 15 Selon un autre aspect il est proposé un objet connecté appartenant au système défini ci-avant. D'autres avantages et caractéristiques de 1' invention apparaîtront à l'examen de la description détaillée de modes de mise en oeuvre et de réalisation, nullement limitatifs, et des dessins annexés 20 sur lesquels : - les figures I à 7 illustrent schématiquement des modes de mise en oeuvre et de réalisation de l'invention. La figure I illustre un exemple de réalisation d'un groupe I de plusieurs objets connectés, ici par exemple quatre lampadaires 25 extérieurs connectés LI, L2, L3, L4, et un système de gestion de fonctionnement 2 dudit groupe E A titre d'exemple non limitatif, les structures et les fonctionnements des quatre lampadaires LI, L2, L3, L4 sont compatibles voire identiques et ces quatre lampadaires LI, L2, L3, L4 30 sont situés dans une même rue. Chaque lampadaire LI, L2, L3, L4 comporte une ampoule connectée Al, A2, A3, A4 configurée pour être allumée ou éteinte de façon contrôlée, et I] un capteur de luminosité connecté CL1, CL2, CL3, CL4 configuré pour détecter l'intensité de luminosité autour de l'ampoule connectée Al, A2, A3, A4 Les quatre lampadaires LI, L2, L3, L4 sont mutuellement 5 couplés via des moyens de communication MCOM, ici par exemple via un réseau local LAN communément connu sous l'acronyme anglais « LAN » (« Local Area Network » en anglais) et couplés à un serveur de contrôle 3 à distance, par exemple via le réseau internet. Le système de gestion de fonctionnement 2 comporte pour 10 chaque lampadaire LI, L2, L3, L4 un module de contrôle MCI, MC2, MC3, MC4 couplé à l'ampoule connectée Al, A2, A3, A4 correspondante et au capteur de luminosité connecté CL1, CL2, CL3, CL4 correspondant et configure pour gérer le fonctionnement du lampadaire LI, L2, L3, L4 correspondant et renforcer la sûreté du 15 groupe Il convient de noter que chaque module de contrôle MC1, MC2, MC3, MC4 peut être couplé au réseau local LAN de façon à communiquer avec les autres modules de contrôle MCI, MC2, MC3, MC4 du groupe I via le réseau local LAN ou posséder une interface de 20 programmation (« Application Programming Interface » : API en anglais) permettant des communications via des applications logicielles dédiées en utilisant des adresses IP (« Internet Protocol » en anglais) statiques, voire un réseau séparé et réservé aux moyens de communication MCOM. Dans ce dernier cas, des échanges 25 informatiques au sein dudit groupe ne sont avantageusement pas visibles pour un possible pirate informatique qui attaquerait l'objet connecté via le réseau principal Chaque module de contrôle MCI, MC2, MC3, MC4 est par exemple réalisé sous forme d'un microcontrôleur de type STM320L4 30 de la société STMicroelectronics, connu de l'homme du métier. Avantageusement, un tel module de contrôle MC1, MC2, MC3, MC4 dans le microcontrôleur peut être isolé de façon virtuelle de façon à permettre au microcontrôleur d'effectuer d'autres opérations tel qu'un contrôle de l'ampoule connectée 12 A titre d'exemple non limitatif, les communications entre les lampadaires LI, L2, L3, L4 et le système de gestion de fonctionnement 2 peuvent être sécurisées à l'aide de cryptographies symétriques (« symmetric cryptography » en anglais) connues de l'homme du 5 métier, par exemple avec une clé privée commune En solution alternative, lesdites communications peuvent également être protégées à l'aide de cryptographies asymétriques (« asymmetric cryptography » en anglais) connues de l'homme du métier, par exemple avec des clés publiques et privées. 10 Chaque module de contrôle MC1, MC2, MC3, MC4 comprend des moyens d'échange MEI, ME2, ME3, ME4 configurés pour échanger entre au moins deux objets connectés du groupe I, des informations relatives à au moins un état de chaque objet connecté participant à ces échanges des informations, et 15 des moyens de traitement MT], MT2, MT3, MT4 configurés pour déclencher au moins une action sur au moins un objet connecté ayant participé à ces échanges en fonction des informations reçues par cet objet Les moyens d'échange ME], ME2, ME3, ME4 sont 20 implémentés sous forme d'applications logicielles et peuvent être mis à jour directement lorsque les modules de contrôle MC1, MC2, MC3, MC4 sont en fonctionnement En variante, les moyens d'échange MEI, ME2, ME3, ME4 peuvent être implémentés de façon figée comme les modules de 25 contrôle MC1, MC2, MC3, MC4 En revanche, les moyens de traitement MT1, MT2, MT3, MT4 ne peuvent jamais être mis à jour lorsque les modules de contrôle MD, MC2, MC3, MC4 sont en fonctionnement de façon à assurer la sûreté du groupe I 30 En variante, les moyens de traitement MT1, MT2, MT3, MT4 peuvent par exemple ne jamais être mis à jour afin d'éviter de possibles attaques physiques du système de gestion de fonctionnement 2 13 On se réfère maintenant à la figure 2 pour illustrer un exemple d'une étape dite de « découverte » du système de gestion de fonctionnement 2 dudit groupe 1 Dans cette étape de découverte, les quatre lampadaires LE L2, 5 L3, L4 et les modules de contrôle MCI, MC2, MC3, MC4 sont mutuellement couplés via le réseau local LAN Chaque lampadaire Ll, L2, L3, L4 possède un numéro d'identité NE N2, N3, N4 pour que les modules de contrôle MC1, MC2, MC3, MC4 puissent les identifier et un numéro de type pour 10 reconnaître ses caractéristiques Les quatre lampadaires sont identiques donc possèdent chacun un même numéro de type, ici par exemple T1 Lorsque le groupe 1 des lampadaires connectés LI, L2, L3, L4 est en fonctionnement pour la première fois, les moyens d'échange 15 MET, ME2, ME3, ME4 de chaque module de contrôle MC1, MC2, MC3, MC4 sont configurés pour échanger avec son lampadaire LI, L2, L3, L4 correspondant et les autres lampadaires du groupe 1 de façon à récupérer les numéros d'identité NE N2, N3, N4 et les numéros de type T1 de tous les lampadaires et puis délivrer ces numéros d'identité 20 NE N2, N3, N4 et les numéros de type Tl aux moyens de traitement MT, MT2, MT3, MT4 correspondants Les moyens de traitement MT1, MT2, MT3, MT4 de chaque module de contrôle MC1, MC2, MC3, MC4 sont configurés pour enregistrer respectivement les numéros d'identité des autres 25 lampadaires du groupe 1 Par exemple, pour les moyens de traitement MT] du module de contrôle MC1, les numéros d'identité enregistrés sont N2, N3 et N4 On se réfère maintenant aux figures 3 à 7 pour illustrer des exemples de mise en oeuvre du système de gestion de fonctionnement 2 30 dudit groupe 1 Dans l'exemple illustré sur la figure 3, on illustre un exemple de mise en oeuvre d'une surveillance d'état de fonctionnement des lampadaires connectés LI, L2, L3, L4 du groupe I. 14 Les moyens d'échange ME], N1E2, ME3, ME4 de chaque module de contrôle MC1, MC2, MC3, MC4 sont configurés pour échanger périodiquement entre eux de premières informations relatives à un état de fonctionnement des lampadaires connectés Ll, L2, L3, L4, 5 ici par exemple un signal d'état de fonctionnement SEF1, SEF2, SEF3, SEF4 de chaque lampadaire Ll, L2, L3, L4 Chaque signal d'état de fonctionnement SEF1, SEF2, SEF3, SEF4 comporte par exemple une signature numérique SNI, SN2, SN3, SN4 calculée à l'aide d'une clé symétrique commune aux lampadaires 10 connectés LI, L2, L3, L4 du groupe 1 afin de faciliter la vérification de l'état de fonctionnement de chaque lampadaire LI, L2, L3, L4 Si au moins un état de fonctionnement de ces lampadaires Ll, L2, L3, L4 est erroné, autrement dit au moins une signature numérique SNI, SN2, 5N3, SN4 est erronée, ou au moins un échange entre ces 15 lampadaires Ll, L2, L3, L4 n'est pas réussi, c'est-à-dire la vérification d'au moins une signature SNI, 5N2, 5N3, 5N4 n'est pas aboutie, les moyens de traitement MT], MT2, MT3, MT4 de chaque module de contrôle N/C1, MC2, MC3, N/C4 sont configurés pour délivrer un premier signal d'avertissement SV1 de façon à alerter sur l'anormalité 20 du groupe I. Les moyens d'échange ME], N1E2, N1E3, ME4 de chaque module de contrôle MC1, MC2, MC3, N1C4 sont en outre configurés pour échanger périodiquement entre eux au moins un paramètre mesuré localement par chaque capteur de luminosité connecté CL1, CL2, CL3, 25 CL4, ici par exemple un signal représentatif de l'intensité lumineuse IL], IL2, IL3, IL4 mesurée par chaque capteur de luminosité connecté CL1, CL2, CL3, CL4 Comme ces lampadaires LI, L2, L3, L4 se trouvent dans une même rue, la transition temporelle de l'intensité lumineuse mesurée 30 par chaque capteur de luminosité connecté CL], CL2, CL3, CL4 est prévue d'être similaire et dans un même sens. Les moyens de traitement MT1, N1T2, MT3, NIT4 de chaque module de contrôle MC1, MC2, MC3, N1C4 sont en outre configurés pour délivrer un deuxième signal d'avertissement SV2 de façon à 15 indiquer une anormalité dudit au moins un lampadaire Ll, L2, L3, L4 du groupe 1, si la vérification de la signature numérique SNI, SN2, SN3, SN4 d'au moins un lampadaire Ll, L2, L3, L4 est réussie mais que 5 l'intensité lumineuse IL], IL2, IL3, IL4 mesurée par chaque capteur de luminosité connecté CL1, CL2, CL3, CL4 dépasse ladite gamme nominale, ou si une évolution d'au moins une intensité lumineuse IL], IL2, IL3, IL4 mesurée se distingue de celle constatée pour le reste dudit 10 groupe 1 (par exemple l'intensité lumineuse IL] mesurée a une évolution croissante et les autres intensités IL2, IL3, IL4 mesurées ont une évolution décroissante) A titre d'exemple, le premier signal d'avertissement SV1 et le deuxième signal d'avertissement SV2 peuvent être identiques 15 La figure 4 illustre un exemple de mise en oeuvre du système de gestion de fonctionnement 2 lorsque les moyens d'échange d'au moins un lampadaire connecté du groupe 1, ici par exemple le lampadaire Ll, délivre une demande de mise à jour de microprogramme DMAJ A la suite de cette demande de mise à jour DMAJ, les moyens 20 d'échange 1\1E1, ME2, ME3, 1\1E4 de chaque module de contrôle MC1, N1C2, MC3, N1C4 sont configurés pour échanger des deuxièmes informations représentatives d'un état de demande de mise à jour de microprogramme des lampadaires Ll, L2, L3, L4, ici par exemple un signal de demande SD1, SD2, SD3, SD4, de façon à vérifier si ladite 25 demande de mise à jour de microprogramme DMAJ est synchronisée avec les autres lampadaires L2, L3, L3 du groupe 1 Les moyens de traitement MT1, MT2, MT3, MT4 sont ensuite configurés pour suspendre ladite demande de mise à jour de microprogramme DMAJ 30 si au moins un échange des signaux de demande SD], SD2, SD3, SD4 n'est pas réussi, ou si l'état de demande de mise à jour du lampadaire Ll faisant ladite demande de mise à jour DMAJ est différent de l'état de demande de mise à jour d'au moins un autre lampadaire L2, L3, L4 du groupe 1 16 Lorsque ledit au moins un échange n'a pas abouti, il est possible que cet ou ces échanges soient bloqués par le lampadaire LI faisant ladite demande de mise à jour de microprogramme DMAJ Dans le cas où ladite demande de mise à jour DMAJ n'est pas 5 synchronisée avec les autres lampadaires L2, L3, L4 du groupe I, ladite demande de mise à jour DMAJ est susceptible d'être non-autorisée par le groupe 1 Dans ces deux cas mentionnés ci-dessus, les moyens de traitements MT], MT2, MT3, MT4 sont configurés pour marquer ledit 10 au moins un lampadaire faisant ladite demande de mise à jour comme objet susceptible d'être défaillant ou piraté Par ailleurs, ladite demande de mise à jour DMAJ peut par exemple être considérée comme invalide par les moyens de traitement MT1, MT2, MT3, MT4 si aucune autre demande de mise à jour est 15 détectée au bout d'un délai choisi, ici par exemple 24 heures, à la suite de ladite demande de mise à jour de microprogramme DMAJ La figure 5 illustre un autre exemple de mise en oeuvre du système de gestion de fonctionnement 2 lorsque les moyens d'échange MET, ME2, ME3, ME4 de tous les lampadaires connectés LI, L2, L3, 20 L4 du groupe 1 délivrent une même demande de mise à jour de microprogramme DMAJ Ledit module de contrôle 2 comprend en outre un module d'élection ME couplé aux quatre lampadaires LI, L2, L3, L4 du groupe 1 et configuré pour déterminer un lampadaire élu LE, ici par exemple 25 le lampadaire L4 dans le groupe 1 Une fois que le lampadaire élu LE est déterminé, les moyens de traitement MT4 du lampadaire élu LE sont configurés pour procéder la mise à jour de microprogramme (MAJ). Les moyens d'échange ME], ME2, ME3, ME4 de chaque 30 module de contrôle MC1 sont ensuite configurés pour échanger dans une durée choisie, ici par exemple 24 heures, à la suite de ladite mise à jour de microprogramme MAJ du lampadaire élu LE, de troisièmes informations représentatives à un état de mise à jour de 17 microprogramme de lampadaire élu LE, ici par exemple un signal d'état de mise à jour SEMJ du lampadaire élu LE Lorsque le signal SEMJ est dans son état positif, les moyens de traitement MT], MT2, MT3 des autres lampadaires connectés LI, L2, 5 L3 sont configurés pour mettre à jour des microprogrammes des autres lampadaires connectés LI, L2, L3 du groupe 1 avec le même microprogramme que le lampadaire élu LE Lorsque le signal SEMJ est dans son état négatif ou au moins un échange du signal SEMJ n'est pas réussi, les moyens de traitement 10 MT, MT2, MT3 des autres lampadaires connectés LI, L2, L3 sont configurés pour suspendre des mises à jour de microprogrammes des autres lampadaires connectés du groupe 1 et délivrer un troisième signal d'avertissement, ici par exemple un signal de suspension de mise à jour SSMAJ 15 La figure 6 illustre un autre exemple de mise en oeuvre du système de gestion de fonctionnement 2 pour vérifier l'authentification des microprogrammes des lampadaires connectés LI, L2, L3, L4 du groupe 1 Les moyens d'échange ME], ME2, ME3, ME4 de chaque 20 module de contrôle MC1, MC2, MC3, MC4 sont configurés pour échanger entre eux des quatrièmes informations représentatives d'un état de sûreté des lampadaires LI, L2, L3, L4 du groupe 1, ici par exemple une signature numérique de microprogramme SNM1, SNM2, SNM3, SNM4 connue de l'homme du métier, 25 Les moyens de traitement MT1, MT2, MT3, MT4 de chaque module de contrôle MCI, MC2, MC3, MC4 sont en outre configurés pour déterminer un état authentique EA de tous les lampadaires Ll, L2, L3, L4 du groupe 1 si les signatures numériques de microprogramme SNM1, SNM2, SNM3, SNM4 sont identiques, et 30 délivrer un quatrième signal d'avertissement, ici par exemple un signal d'avertissement d'authentification SAA, et déterminer un état d'insécurité H si la signature numérique de microprogramme SNM1, SNM2, SNM3, SNM4 d'au moins un lampadaire LI, L2, L3, L4 est différent de celle des autres lampadaires connectés 18 A titre d'exemple, si les signatures numériques de microprogramme SNM1, SNM2, SNM3 des lampadaires Ll, L2, L3 sont identiques mais différents de celle du lampadaire L4, la sûreté du groupe 1 ne peut plus être assurée et le groupe 1 est dans l'état 5 d'insécurité La figure 7 illustre encore un autre exemple de mise en oeuvre du système de gestion de fonctionnement 2 lorsqu'un lampadaire, ici par exemple le lampadaire Ll, du groupe 1 comporte un microprogramme défaillant MD 10 Les moyens d'échange ME1 du module de contrôle MC1 sont configurés pour échanger avec au moins un autre lampadaire connecté, ici par exemple le lampadaire L2, du groupe 1, des cinquièmes informations représentatives d'un état de fonctionnement de microprogramme du lampadaire Ll et du lampadaire L2, ici par 15 exemple des signaux d'état de fonctionnement de microprogramme SEFM1, SEFM2 A titre indicatif non limitatif, chaque signal d'état de fonctionnement de microprogramme SEFM1, SEFM2 peut comprendre la version du microprogramme VM utilisé et un nombre d'erreurs 20 détectées NED dans une durée choisie, par exemple une heure ou une journée, ou encore une signature numérique du microprogramme VM Si le signal d'état de fonctionnement de microprogramme SEFM2 du lampadaire 2 est positif, autrement dit le microprogramme du lampadaire 2 est opérationnel, les moyens de traitement MT2 du 25 lampadaire 2 sont configurés pour délivrer, sous la demande des moyens de traitement MT1 du lampadaire 1, audit premier lampadaire Ll ledit microprogramme opérationnel MO du lampadaire 2, et les moyens de traitement MT] du lampadaire 1 sont configurés pour mettre à jour son microprogramme défaillant MD avec ledit 30 microprogramme opérationnel MO De ce fait, les lampadaires connectés Ll, L2 L3, L4 du groupe 1 sont capables de restaurer localement un ou des microprogrammes défaillants MD 19 En variante, le serveur de contrôle 3 à distance est configuré pour délivrer, sur la demande des moyens de traitement MU du lampadaire 1, audit premier lampadaire Ll ledit microprogramme opérationnel MO 5 Les moyens de traitement MT] du lampadaire 1 sont configurés pour mettre à jour son microprogramme défaillant MD avec ledit microprogramme opérationnel MO du serveur de contrôle 3 Ainsi, les lampadaires connectés LI, L2, L3, REVENDICATIONS1. Procédé de gestion du fonctionnement d'un groupe (1) de plusieurs objets connectés (L1, L2, L3, L4), comprenant des échanges d'informations entre au moins deux objets connectés (L1, L2, L3, L4) dudit groupe (1), relatives à au moins un état de chaque objet connecté (L1, L2, L3, L4) participant à ces échanges d'informations, et un déclenchement d'au moins une action sur au moins un objet connecté (L1, L2, L3, L4) ayant participé à ces échanges en fonction des informations reçues par cet objet (L1, L2, L3, L4). 2. Procédé selon la revendication 1, dans lequel lesdits échanges comprennent des échanges périodiques entre lesdits objets connectés (L1, L2, L3, L4) du groupe (1), de premières informations (SEF1, SEF2, SEF3, SEF4) relatives à un état de fonctionnement des objets connectés (L1, L2, L3, L4), et ledit déclenchement comprend une délivrance d'un premier signal d'avertissement (SV1) si l'état de fonctionnement d'au moins un objet connecté (L1, L2, L3, L4) est erroné et/ou une délivrance d'un deuxième signal d'avertissement (SV2) en cas d'échec de la transmission par l'un au moins des objets aux autres objets, de premières informations (SEF1, SEF2, SEF3, SEF4) relatives à son état de fonctionnement. 3. Procédé selon la revendication 2, dans lequel lesdits échanges comprennent en outre des échanges périodiques entre lesdits objets connectés (L1, L2, L3, L4) du groupe (1), d'au moins un paramètre mesuré (ILL 11_2, IL3, IL4) localement par chaque objet connecté (L1, L2, L3, L4), et ledit déclenchement comprend en outre la délivrance du deuxième signal d'avertissement (SV2) si les échanges périodiques des premières informations (SEF1, SEF2, SEF3, SEF4) sont réussis, tous les états de fonctionnement sont identiques, et 21 ledit au moins un paramètre mesuré (IL1) d'au moins un objet connecté (L1) dépasse une gamme nominale de la valeur nominale dudit au moins un paramètre (ILl, IL2, IL3, IL4), ou une évolution dudit au moins un paramètre mesuré (ILI) d'au moins un objet 5 connecté (L1) se distingue de celle constatée (IL2, IL3, IL4) pour le reste (L2, L3, L4) dudit groupe (I) 4 Procédé selon l'une quelconque des revendications précédentes, dans lequel lesdits échanges comprennent des échanges à la suite d'une 10 demande de mise à jour de microprogramme (DMAJ) d'au moins un objet connecté (L1) du groupe (I), de deuxièmes informations (SD1, SD2, SD3, SD4) représentatives d'un état de demande de mise à jour de microprogramme des objets connectés (L1, L2, L3, L4), et ledit déclenchement comprend une suspension de ladite 15 demande de mise à jour de microgramme (DMAJ) si au moins un échange des deuxièmes informations n'est pas réussi ou si l'état de demande de mise à jour (SD1) dudit au moins un objet connecté (LI) faisant ladite demande de mise à jour (DMAJ) est différent de l'état de demande de mise à jour (SD2, SD3, SD4) d'au moins un autre objet 20 connecté (L2, L3, L4) du groupe (I) 5 Procédé selon l'une quelconque des revendications précédentes, comprenant en outre une étape d'élection des objets connectés (L1, L2, L3, L4) du groupe (1) de façon à déterminer un objet connecté élu (LE), dans lequel 25 lesdits échanges comprennent des échanges dans une durée choisie à la suite d'une mise à jour de microprogramme (MAJ) de l'objet connecté élu (LE), de troisièmes informations (SEMJ) représentatives à un état de mise à jour de microprogramme de l'objet élu (LE), et 30 ledit déclenchement comprend une mise à jour de microprogramme (MAJ) des autres objets connectés (L1, L2, L3) du groupe (1) si l'état de mise à jour (SEMJ) de l'objet connecté élu (LE) est positif, ou 22 une suspension de mises à jour de microprogramme des autres objets connectés (L1, L2, L3) du groupe (I) et une délivrance d'un troisième signal d'avertissement (SSMAJ) si l'état de mise à jour de l'objet connecté élu (LE) est négatif ou au moins 5 un échange des troisièmes informations (SEMAJ) des objets connectés (LI, L2, L3, L4) n'est pas réussi 6 Procédé selon l'une quelconque des revendications précédentes, dans lequel lesdits échanges comprennent des échanges entre les objets 10 connectés (L1, L2, L3, L4) de quatrièmes informations (SNIV11, SNM2, SNM3, SNM4) représentatives d'un état de sûreté des objets connectés (L1, L2, L3, L4), et ledit déclenchement comprend une détermination d'un état authentique (EA) de tous les 15 objets connectés (L1, L2, L3, L4) si les états de sûreté (SNM1, SNM2, SNM3, SNM4) de tous les objets connectés sont identiques, et une délivrance d'un quatrième signal d'avertissement (SAA) et une détermination d'un état d'insécurité (Et) si l'état de 20 sûreté (SNM4) d'au moins un objet connecté (L4) est différent de ceux des autres objets connectés (L1, L2, L3) 7 Procédé selon l'une quelconque des revendications précédentes, dans lequel lesdits échanges comprennent des échanges entre un premier 25 objet connecté (L1) du groupe (I) ayant un microprogramme défaillant (MD) et au moins un deuxième objet connecté (L2) du groupe (1), de cinquièmes informations (SEFM1, SEFM2) représentatives d'un état de fonctionnement de microprogramme du premier objet connecté (L1) et dudit au moins un deuxième objet connecté (L2), et 30 ledit déclenchement comprend si l'état de fonctionnement de microprogramme (SEFM) dudit au moins un deuxième objet connecté (L2) est positif, une délivrance au premier objet connecté (L1) un microprogramme opérationnel (MO) dudit au moins un deuxième objet 23 connecté (L2) et une mise à jour de microprogramme du premier objet connecté (L1) avec ledit microprogramme opérationnel (MO). 8. Procédé selon la revendication 7, dans lequel ladite délivrance est effectuée à partir dudit au moins un deuxième objet 5 connecté (L2) ou d'un serveur distinct (3) à distance. 9. Procédé selon la revendication 7 ou 8, dans lequel l'état de fonctionnement de microprogramme (SEFM1, SEFM2) comprend la version du microprogramme (VM) utilisé et un nombre d'erreurs détectées (NED) dans une durée choisie, ou encore une signature 10 numérique du microprogramme (VM). 10. Procédé selon l'une quelconque des revendications précédentes, dans lequel lesdits objets connectés sont identiques ou compatibles, et lesdits échanges et ladite au moins une action sont protégés par des cryptographies symétriques. 15 11. Procédé selon l'une quelconque des revendications 1 à 9, dans lequel lesdits objets connectés sont identiques ou compatibles, et lesdits échanges et ladite au moins une action sont protégés par des cryptographies asymétriques. 12. Système de gestion du fonctionnement (2) d'un groupe (1) 20 de plusieurs objets connectés (L1, L2, L3, L4) mutuellement couplés et comportant un module de contrôle (MC) associé à chaque objet connecté (L1, L2, L3, L4) et comportant des moyens d'échange (ME1, ME2, ME3, ME4) configurés pour échanger entre au moins deux objets connectés du groupe (1), des 25 informations relatives à au moins un état de chaque objet connecté participant à ces échanges des informations, et des moyens de traitement (MT1, MT2, MT3, MT4) configurés pour déclencher au moins une action sur au moins un objet connecté (L1, L2, L3, L4) ayant participé à ces échanges en fonction des 30 informations reçues par cet objet. 13. Système selon la revendication 12, dans lequel les moyens d'échange (MM, ME2, MM, ME4) sont configurés pour échanger périodiquement entre lesdits objets connectés (L1, L2, 24 L3, L4) du groupe (1), des premières informations (SEF1, SEF2, SEF3, SEF4) relatives à un état de fonctionnement des objets connectés, et les moyens de traitement (MT1, MT2, MT3, MT4) sont configurés pour délivrer un premier signal d'avertissement (SV1) si 5 l'état de fonctionnement (SEF1) d'au moins un objet connecté (L1, L2, L3, L4) est erroné et/ou un deuxième signal d'avertissement (SV2) en cas d'échec de la transmission par l'un au moins des objets aux autres objets, de premières informations (SEF1, SEF2, SEF3, SEF4) relatives à son état de fonctionnement 10 14. Système selon la revendication 13, dans lequel les moyens d'échange (ME], ME2, ME3, ME4) sont en outre configurés pour échanger périodiquement entre lesdits objets connectés (L1, L2, L3, L4) du groupe (1) au moins un paramètre (IL], IL2, IL3, IL4) mesuré localement par chaque objet connecté (L1, L2, 15 L3, L4), et les moyens de traitement (MU, MT2, MT3, MT4) sont en outre configurés pour délivrer le deuxième signal d'avertissement (5V2) si les échanges des premières informations (SEF1, SEF2, SEF3, SEF4) sont réussis, 20 tous les états de fonctionnement sont identiques, et ledit au moins un paramètre (ILI, IL2, IL3, IL4) mesuré d'au moins un objet connecté (LI, L2, L3, L4) dépasse une gamme nominale de la valeur nominale dudit au moins un paramètre (IL], IL2, IL3, IL4), ou une évolution dudit au moins un paramètre mesuré (IL]) 25 d'au moins un objet connecté (L1) se distingue de celle (IL2, IL3, IL4) constatée pour le reste (L2, L3, L4) dudit groupe (1). 15. Système selon l'une quelconque des revendications 12 à 14, dans lequel les moyens d'échange (MEI, ME2, ME3, ME4) sont en outre 30 configurés pour échanger à la suite d'une demande de mise à jour (DMAJ) de microprogramme d'au moins un objet connecté (LI) du groupe (1), des deuxièmes informations (SD1, 5D2, SD3, SD4) représentatives d'un état de demande de mise à jour de microprogramme des objets connectés (L1, L2, L3, L4), et, 25 les moyens de traitement (MU, MT2, MT3, MT4) sont en outre configurés pour suspendre ladite demande de mise à jour de microprogramme (DMAJ) si au moins un échange des deuxièmes informations (SD1, SD2, SD3, SD4) n'est pas réussi ou si l'état de 5 demande de mise à jour (SD1) dudit au moins un objet connecté (L1) faisant ladite demande de mise à jour (DMAJ) est différent de l'état de demande de mise à jour (SD2, SD3, SD4) d'au moins un autre objet connecté (L2, L3, L4) du groupe (1) 16. Système selon l'une quelconque des revendications 12 à 15, 10 dans lequel le module de contrôle (MC) comprend en outre un module d'élection (ME) configuré pour déterminer un objet connecté élu (LE) dans le groupe (1), dans lequel les moyens d'échange (MEI, ME2, ME3, ME4) sont en outre configurés pour échanger dans une durée choisie à la suite d'une mise 15 à jour de microprogramme (MAJ) de l'objet connecté élu (LE), de troisièmes informations (SEMJ) représentatives à un état de mise à jour de microprogramme de l'objet élu (LE), et les moyens de traitement (MU, MT2, MT3, MT4) sont en outre configurés pour 20 mettre à jour des microprogrammes des autres objets connectés (L1, L2, L3, L4) du groupe (1) si l'état de mise à jour (SEMJ) de l'objet connecté élu (LE) est positif, ou suspendre des mises à jour de microprogrammes (MAJ) des autres objets connectés (L1, L2, L3, L4) du groupe (1) et délivrer un 25 troisième signal d'avertissement (SSMAJ) si l'état de mise à jour (SEMJ) de l'objet connecté élu (LE) est négatif ou au moins un échange des troisièmes informations (SEMJ) des objets connectés (L1, L2, L3, L4) n'est pas réussi 17. Système selon l'une quelconque des revendications 12 à 16, 30 dans lequel les moyens d'échange (MEI, ME2, ME3, ME4) sont en outre configurés pour échanger entre les objets connectés (L1, L2, L3, L4) de quatrièmes informations (SNM1, SNM2, SNM3, SNM4) 26 représentatives d'un état de sûreté des objets connectés (L1, L2, L3, L4), et les moyens de traitement (MT, MT2, MT3, MT4) sont en outre configurés pour 5 déterminer un état authentique (ET) de tous les objets connectés (L1, L2, L3, L4) si les états de sûreté (SNM1, SNM2, SNM3, SNM4) de tous les objets connectés (L1, L2, L3, L4) sont identiques, et délivrer un quatrième signal d'avertissement (SAA) et 10 déterminer un état d'insécurité (SI) si l'état de sûreté (SNM1, SNM2, SNM3, SNM4) d'au moins un objet connecté est différent de ceux des autres objets connectés 18. Système selon l'une quelconque des revendications 12 à 17, dans lequel 15 les moyens d'échange (ME1, ME2) sont en outre configurés pour échanger entre un premier objet connecté (L1) du groupe (1) ayant un microprogramme défaillant (MD) et au moins un deuxième objet connecté (L2) du groupe (1), de cinquièmes informations (SEFM1, SEFM2) représentatives d'un état de fonctionnement de 20 microprogramme du premier objet connecté (L1) et dudit au moins un deuxième objet connecté (L2), et les moyens de traitement (MT 1, MT2) sont en outre configurés pour délivrer, si l'état de fonctionnement de microprogramme 25 (SEFM2) dudit au moins un deuxième objet connecté (L2) est positif, audit premier objet connecté (L1) un microprogramme opérationnel (MO) dudit au moins un deuxième objet connecté (L2), et mettre à jour le microprogramme du premier objet connecté 30 (L1) avec ledit microprogramme opérationnel (MO). 19. Système selon la revendication 18, dans lequel les moyens de traitement (MT1) sont en outre configurés pour délivrer ledit microprogramme opérationnel (MO) à partir dudit au moins un deuxième objet connecté (L2) ou d'un serveur distinct (3) à distance. 27 20. Système selon la revendication 17 ou 18, dans lequel l'état de fonctionnement de microprogramme comprend la version du microprogramme (VM) utilisé et un nombre d'erreurs détectées (NED) dans une durée choisie, ou encore une signature numérique du 5 microprogramme (VM). 21. Système selon l'une quelconque des revendications 12 à 20, dans lequel lesdits objets connectés sont identiques ou compatibles, et chaque module de contrôle comprend en outre des moyens de protection configurés pour protéger les moyens d'échange et les 10 moyens de traitement par des cryptographies symétriques. 22. Système selon l'une quelconque des revendications 12 à 20, dans lequel lesdits objets connectés sont identiques ou compatibles, chaque module de contrôle comprend en outre des moyens de protection configurés pour protéger les moyens d'échange et les 15 moyens de traitement par des cryptographies asymétriques. 23. Système selon l'une quelconque des revendications 12 à 22, dans lequel lesdits objets connectés sont des objets choisis dans le groupe formé par les objets : ampoules connectées, capteurs connectés, enceintes connectées, et appareils de surveillance connectés 20 24. Objet connecté appartenant au système selon l'une des revendications 12 à 23.