Brevet FR3086416A1 — publié le 20200327

La présente invention concerne un procédé de préservation d'une intégrité d'une unité de contrôle électronique de véhicule automobile en cas de modifications non autorisées introduites dans cette unité de contrôle électronique. Il est connu qu'une unité de contrôle électronique, par exemple une unité de contrôle moteur ou une unité de contrôle du véhicule automobile, soit reprogrammable et en communication à distance avec un serveur sécurisé conservant dans une base de données des données spécifiques à l'unité préalablement mémorisées et représentatives de sa programmation autorisée. Ces opérations de reprogrammation à distance vont se généraliser avec l'apparition de plus en plus de véhicules connectés. Ces procédures sont protégées par des méthodes de protection qui sont très fiables. Cependant après une période plus ou moins longue, on retrouve souvent accessible sur internet des outils ou des méthodes permettant de modifier les paramètres du contrôle moteur. En prenant l'exemple d'une unité de contrôle moteur en tant qu'unité de contrôle électronique embarquée dans un véhicule automobile, ce qui n'est pas limitatif dans le cadre de la présente invention, le principal intérêt de modifications d'une unité de contrôle moteur est de permettre de notamment d'augmenter la performance d'un véhicule au détriment d'un contrôle de la pollution ou de modifier les seuils de détection des pannes permettant ainsi d'utiliser le véhicule alors que les normes de pollution ne le permettraient pas. Ce genre de modification restera possible car, pour chaque unité de contrôle moteur, il est disponible une capacité de reprogrammation si l'on dispose des outils et des droits nécessaires. Il n'existe pas de solution de protection robuste de l'intégrité du contenu logiciel de l'unité de contrôle électronique. Il est donc possible, malgré l'effort fait pour limiter la pollution et accroître la sécurité sur les véhicules, qu'après une période donnée, un pirate réussisse à dégrader la performance du véhicule gérée par l'unité de contrôle électronique sans en être inquiété. De plus en plus de solutions de reprogrammation d'unités de contrôles 30 électroniques sont disponibles sur Internet et ces solutions ne sont pas toujours respectueuses des normes de sécurité et de dépollution en vigueur. Ce sont ces solutions en dehors d'un cadre légal qui sont dénommées des piratages. D'autre part, si l'on peut imaginer qu'une solution existera pour déterminer qu'un véhicule a été piraté, notamment quand les véhicules seront connectés, il n'y a, à 35 ce jour, aucun moyen d'empêcher qu'un tel véhicule puisse rouler. 2 De plus, il est fortement probable que ces modifications aient été entreprises sous l'instigation du conducteur lui-même moyennant finance et que le conducteur sera très réticent à reprogrammer l'unité de contrôle électronique de son véhicule comme elle l'avait été précédemment par le constructeur tout en pouvant avoir subi des 5 reprogrammations offertes par le constructeur. Il s'ensuit qu'un tel conducteur n'ira pas volontairement en un centre de réparation pour faire reprogrammer de manière légale une unité de contrôle électronique piratée embarquée à bord de son véhicule automobile sauf s'il est fortement encouragé à le faire ou a de bonnes raisons de faire effectuer une telle reprogrammation. 10 Le problème à la base de la présente invention est de garantir l'intégrité d'une unité de contrôle électronique embarquée à bord d'un véhicule automobile en détectant tout d'abord une unité de contrôle électronique dont la programmation est non conforme et en incitant très fortement le conducteur du véhicule à effectuer une reprogrammation de son unité de contrôle électronique afin de la rendre à nouveau conforme. 15 A cet effet, la présente invention concerne un procédé de préservation d'une intégrité d'une unité de contrôle électronique embarquée dans un véhicule automobile en cas de modifications non autorisées de la programmation de l'unité, l'unité étant reprogrammable et en communication à distance avec un serveur sécurisé conservant dans une base de données des données spécifiques à l'unité préalablement mémorisées 20 et représentatives de sa programmation autorisée, remarquable en ce qu'à intervalle régulier, le véhicule envoie des données dites envoyées au serveur représentatives d'un état en vigueur de programmation de l'unité, le serveur effectuant une comparaison des données envoyées avec les données spécifiques à l'unité mémorisées dans la base de données et, quand une modification des données envoyées par rapport aux données 25 spécifiques conservées est détectée, le serveur envoie un statut d'intégrité non conforme en retour au véhicule et, d'une part, le véhicule informant un conducteur du véhicule automobile d'une réception d'un statut d'intégrité non conforme et, d'autre part, l'unité mettant en oeuvre une planification d'au moins un dysfonctionnement temporaire, lors d'un prochain fonctionnement du véhicule, simulant une défaillance progressive du véhicule incitant le conducteur à amener son véhicule à un centre de réparation. La présente invention propose un procédé qui va permettre de faire une vérification de l'intégrité du calculateur pour déterminer qu'il a été piraté et, dans ce cas, d'activer un moyen technique qui forcera le propriétaire du véhicule à passer dans un centre de réparation. II est possible que ce ne soit pas l'unité de contrôle électronique qui effectue la communication avec le serveur mais un autre élément du véhicule automobile. Par exemple, pour une unité de contrôle moteur, cela peut être une unité de contrôle du 3 véhicule automobile qui centralise toutes les communications mais ceci n'est pas limitatif, l'unité de contrôle moteur pouvant aussi être équipée pour remplir ce rôle. La première étape du procédé selon l'invention est de prendre une décision quant à l'intégrité de l'unité de contrôle électronique. Ceci est fait dans par un serveur à 5 distance par communication par Internet, WIFI ou par tout autre moyen de communication sans fil. C'est le serveur qui prend la décision quant au statut d'intégrité conforme ou non de l'état de programmation de l'unité de contrôle électronique. La décision concernant le statut prise dans le serveur est transmise en retour au véhicule automobile vers l'unité de contrôle responsable de l'émission et de la réception. 10 La deuxième étape du procédé selon l'invention sera de convaincre le conducteur, suite à une détection de la possible non intégrité de programmation de son unité de contrôle électronique. Comme les modifications de programmation, même non issues du constructeur automobile, ont pu recevoir l'assentiment du conducteur, en ayant lui-même demandé un piratage, une simple mesure d'information ne sera pas en elle- 15 même suffisante. Il convient de mettre en oeuvre une mesure persuasive inclinant le conducteur à penser que son véhicule présente une panne ou une imminence de panne de son unité de contrôle électronique visée afin qu'il fasse réviser l'unité dans un centre de réparation. Ceci est fait par une planification d'au moins un dysfonctionnement temporaire 20 simulant une défaillance du véhicule dans le fonctionnement futur du véhicule automobile après réception d'un statut d'intégrité non conforme par le véhicule automobile, ce dysfonctionnement temporaire ayant lieu avantageusement lors du démarrage du véhicule automobile. La mise en oeuvre d'au moins un dysfonctionnement temporaire fera que le 25 conducteur du véhicule aura le ressenti d'un dysfonctionnement de l'unité de contrôle électronique, notamment d'une unité de contrôle moteur, ce dysfonctionnement, de préférence allant vers une dégradation progressive au fur et à mesure des démarrages successifs du véhicule. Le conducteur sera donc amené à conduire son véhicule dans un centre de réparation pour remettre en état son unité de contrôle électronique. 30 Sans une telle mise en oeuvre d'au moins un dysfonctionnement temporaire, le conducteur du véhicule n'aurait aucune volonté de faire réparer une unité de contrôle électronique qu'il a vraisemblablement lui-même fait modifier. Avantageusement, lors de la première étape du procédé, les données envoyées au serveur représentatives d'un état en vigueur de programmation de l'unité 35 sont relatives à des sommes de contrôle de son état en vigueur de programmation, d'un ensemble de calibrations de son état en vigueur de programmation ou de tout autre moyen d'identification de son état de programmation, un numéro d'identification associé 4 au véhicule étant aussi envoyé au serveur pour une reconnaissance des données spécifiques à l'unité par rapport à des données spécifiques d'unités de contrôle électronique d'autres véhicules stockées dans la base de données du serveur. Ceci permet une comparaison de la programmation en vigueur de l'unité de 5 contrôle électronique avec la dernière programmation en possession du serveur pour ce véhicule identifié. La base de données contient des données de plusieurs unités de contrôle électronique de véhicules automobiles différents : c'est pour cela qu'une identification du véhicule est jointe à l'émission des données de programmation. Avantageusement, lors de la deuxième étape du procédé, il est mis en place 10 une série de dysfonctionnements temporaires affectant un fonctionnement du véhicule périodiquement ou à un moment déterminé de fonctionnement du véhicule automobile, les dysfonctionnements temporaires allant croissant en durée et/ou en ampleur du dysfonctionnement plus un nombre de dysfonctionnements temporaires ayant été déjà effectués augmente, ceci au moins pour les premiers dysfonctionnements temporaires de 15 la série. Ceci donnera l'impression au conducteur que la panne empire ou que l'imminence de la panne s'approche lors de roulages du véhicule successifs et convaincra le conducteur plus rapidement d'aller dans un centre de réparation de son unité électronique de commande. 20 Avantageusement, lors de la première étape du procédé, le serveur envoie vers le véhicule avec le statut d'intégrité non conforme la planification dudit au moins un dysfonctionnement temporaire à mettre en oeuvre par l'unité. C'est avantageusement le serveur qui décide du type de dysfonctionnement temporaire à mettre en oeuvre de même que de sa fréquence, ce qui soulage le poids 25 logiciel de l'unité de contrôle électronique en déléguant cette fonction au serveur à distance. Avantageusement, l'envoi par le véhicule des données représentatives d'un état en vigueur de programmation de l'unité se fait lors d'un mode de verrouillage précédant une mise en veille de l'unité, une périodicité d'envoi étant fixée avec un envoi 30 une fois qu'un nombre prédéterminé de modes de verrouillage a été atteint, le conducteur du véhicule automobile étant informé dans le cas d'un statut d'intégrité non conforme et l'unité planifiant au moins un dysfonctionnement temporaire lors d'un prochain démarrage du véhicule automobile. Planifier au moins un dysfonctionnement temporaire à un démarrage est sans 35 risque pour la conduite mais tout aussi impressionnant pour le conducteur qu'un dysfonctionnement temporaire en roulage. Un tel dysfonctionnement temporaire est très repérable en se traduisant par un retard de démarrage alors qu'une coupure d'injection 5 pour un moteur thermique ou une coupure de commande de couple pour un moteur électrique pourrait passer inaperçue une fois le véhicule lancé. Le ou les dysfonctionnements peuvent être mis en oeuvre à des démarrages successifs. Avantageusement, lors de la deuxième étape du procédé, ledit au moins un 5 dysfonctionnement temporaire est une coupure d'injection de carburant, un blocage d'un démarreur pour un véhicule automobile à moteur thermique ou une coupure de commande de couple pour un moteur électrique. Ces dysfonctionnements temporaires sont sans risque de détérioration du moteur et aussi sans risque pour la conduite du véhicule, le véhicule n'étant pas encore 10 démarré. Avantageusement, la durée des premiers dysfonctionnements temporaires en partant du premier dysfonctionnement temporaire ayant lieu sont progressivement incrémentés en pouvant être respectivement de 2, 4, 6 et 10 secondes. Ceci est compté en associant un dysfonctionnement temporaire à un démarrage. 15 La génération de démarrages de plus en plus laborieux dans le cas de perte d'intégrité d'une unité de contrôle électronique, avantageusement une unité de contrôle moteur, va réduire le nombre de véhicules roulant avec des unités non certifiées présentant des risques d'accident ou engendrant une pollution supérieure aux normes en persuadant rapidement le conducteur d'aller faire reprogrammer son unité de contrôle 20 électronique. Dans le cadre de la présente invention, il serait possible pour des raisons de sécurité de retarder ou d'empêcher volontairement le démarrage d'un véhicule à distance, en utilisant cette fonction avec des requêtes de retard au démarrage qui seraient télétransmis à une unité de contrôle électronique du véhicule. 25 Avantageusement, au centre de réparation, il est procédé à une reprogrammation de l'unité, l'unité annulant le statut d'intégrité non conforme et le véhicule automobile le communiquant au serveur. L'information est ainsi actualisée dans le serveur qui suit l'évolution de la reprogrammation de l'unité de contrôle électronique et son état d'intégrité. 30 Avantageusement, quand aucune modification des données envoyées par rapport aux données spécifiques conservées n'est détectée, le serveur envoie un statut d'intégrité conforme à l'unité et aucun dysfonctionnement temporaire simulant une défaillance du véhicule incitant le conducteur à amener son véhicule à un centre de réparation n'est planifié. Aucun changement n'est alors effectué sur et par l'unité de 35 contrôle électronique. L'invention concerne aussi un véhicule automobile équipé d'au moins une unité électronique de contrôle, le véhicule automobile mettant en oeuvre un tel procédé, 6 remarquable en ce que le véhicule ou ladite au moins une unité comprend des moyens d'émission et de réception de données vers un serveur externe et des moyens d'information du conducteur du véhicule automobile d'un statut d'intégrité non conforme pour l'état en vigueur de programmation de l'unité, l'unité comprenant des moyens de 5 mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une défaillance du véhicule. Avantageusement, ladite au moins une unité électronique de contrôle est une unité de contrôle moteur, les moyens de mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une défaillance du moteur étant intégrés à l'unité de contrôle moteur, 10 les moyens d'émission et de réception de données vers un serveur externe étant intégrés à l'unité de contrôle moteur ou à une unité de contrôle du véhicule automobile, les moyens d'information étant commandés par l'unité de contrôle du véhicule automobile en étant sous la forme d'une icône allumée sur un tableau de bord du véhicule automobile. D'autres caractéristiques, buts et avantages de la présente invention 15 apparaîtront à la lecture de la description détaillée qui va suivre et au regard des dessins annexés donnés à titre d'exemples non limitatifs et sur lesquels : - la figure 1 est une représentation schématique d'un logigramme d'une première partie du procédé de préservation d'une intégrité d'une unité de contrôle électronique embarquée dans un véhicule automobile en cas de 20 modifications non autorisées de la programmation de l'unité conforme à la présente invention, cette première partie concernant essentiellement la communication en émission et en réception entre le véhicule automobile et un serveur sécurisé placé à distance pour déterminer si la programmation de l'unité de contrôle électronique présente un statut d'intégrité conforme 25 ou non conforme, - la figure 2 est une représentation schématique d'un logigramme d'une deuxième partie du procédé selon l'invention, cette deuxième partie comprenant essentiellement la mise en oeuvre de dysfonctionnements temporaires du véhicule, afin d'inciter le conducteur à se diriger vers un 30 centre de réparation dans lequel son unité de contrôle électronique sera reprogrammée pour reprendre un statut d'intégrité conforme, la figure 3 est une représentation schématique d'un logigramme d'une troisième partie du procédé selon l'invention, cette troisième partie concernant une reprogrammation de l'unité de contrôle électronique dans 35 un centre de réparation et l'envoi par le véhicule vers le serveur sécurisé d'une information de changement de statut d'intégrité de l'unité de contrôle électronique redevenant de nouveau conforme. 7 En se référant aux figures 1 à 3, la présente invention concerne un procédé de préservation d'une intégrité d'une unité de contrôle électronique embarquée dans un véhicule automobile en cas de modifications non autorisées de la programmation de l'unité, l'unité étant reprogrammable et en communication à distance avec un serveur 7 5 sécurisé conservant dans une base de données 7a des données spécifiques à l'unité préalablement mémorisées et représentatives de sa programmation autorisée. A intervalle régulier, par exemple lors d'un mode de verrouillage précédant une mise en veille de l'unité, l'alimentation électrique dans le véhicule étant maintenue lors de l'émission au moins pour l'unité de contrôle électronique vérifiée, le véhicule 10 envoie des données, dénommées ci-après données envoyées, au serveur 7 représentatives d'un état en vigueur de programmation de l'unité. En se référant tout d'abord à la figure 1, ceci est montré à l'étape 1 d'ouverture de communication avec le serveur 7 qui est avantageusement celui du constructeur automobile puis à l'étape d'émission 2 de données envoyées représentatives 15 d'un état en vigueur de programmation de l'unité. L'envoi des données peut se faire cependant par une autre unité de contrôle que celle vérifiée, les deux unités étant encore en fonctionnement en étant alimentées par la batterie du véhicule automobile. Les données envoyées à l'étape 2 représentatives d'un état en vigueur de programmation de l'unité peuvent être relatives à des sommes de contrôle de son état en 20 vigueur de programmation, d'un ensemble de calibration de son état en vigueur de programmation ou de tout autre moyen d'identification. Un numéro d'identification associé au véhicule est aussi envoyé au serveur 7 pour une reconnaissance des données spécifiques à l'unité par rapport à des données spécifiques d'unités de contrôle électronique d'autres véhicules stockées dans la base de 25 données 7a du serveur 7, le serveur 7 pouvant dialoguer avec plusieurs véhicules différents. Le serveur 7 effectue une comparaison des données envoyées avec les données spécifiques à l'unité mémorisées dans la base de données 7a qu'il intègre. Quand une modification des données envoyées par rapport aux données spécifiques 30 conservées est détectée, le serveur 7 envoie un statut d'intégrité non conforme en retour au véhicule. L'étape 3 dans le véhicule est une étape de réception du statut d'intégrité avec, avantageusement, un dysfonctionnement ou une série de dysfonctionnements temporaires à mettre en oeuvre, avec, le cas échéant, une planification dans la durée et à 35 quel moment de fonctionnement du véhicule les mettre en oeuvre. Ceci permet d'inciter le conducteur du véhicule à aller dans un centre de réparation en lui faisant croire que le fonctionnement de son unité est défectueux et 8 occasionne des problèmes de fonctionnement du véhicule, par exemple des problèmes de fonctionnement d'un moteur thermique ou électrique si l'unité est une unité de contrôle moteur. Dans le véhicule, il est procédé à un questionnement 4 pour savoir si le statut 5 d'intégrité est conforme ou non conforme en étant dans ce dernier cas un statut d'intégrité non conforme, c'est-à-dire pour interpréter la décision de conformité ou non-conformité prise par le serveur 7. Si la réponse est oui O pour un statut conforme, le procédé est arrêté, ce qui est référencé F et l'unité ou les unités de contrôle électronique embarquées dans le 10 véhicule automobile sont mises en veille. Aucune modification des données envoyées par rapport aux données spécifiques conservées n'a été détectée, le serveur 7 ayant envoyé un statut d'intégrité conforme à l'unité. Il s'ensuit qu'aucun dysfonctionnement temporaire simulant une défaillance du véhicule incitant le conducteur à amener son véhicule à un centre de 15 réparation n'est planifié. Si la réponse est non N pour un statut non conforme, le véhicule mémorise dans une étape de mémorisation 5 que le statut est non conforme. L'unité de contrôle vérifiée et, le cas échéant, une unité de contrôle en charge de la communication avec le serveur 7 si ce n'est pas la même unité que celle vérifiée, peuvent être mises en veille, ce 20 qui est référencé F. En se référant ensuite à la figure 2, par exemple au prochain démarrage du véhicule, il est procédé à un nouveau questionnement 8 à savoir si le statut mémorisé est conforme ou non conforme. Si la réponse est oui O pour un statut conforme, l'unité de contrôle vérifiée 25 retourne à son fonctionnement normal ET N, étant donné qu'il a été vérifié que cette unité de contrôle n'a pas été illicitement reprogrammée. Si la réponse est non N pour un statut non conforme, le véhicule informe un conducteur du véhicule automobile d'une réception d'un statut d'intégrité non conforme, par exemple par l'allumage d'un voyant lumineux, cette étape d'information étant 30 référencée 9. De plus, l'unité de contrôle vérifiée met en oeuvre une planification d'au moins un dysfonctionnement temporaire simulant une défaillance du véhicule incitant le conducteur à amener son véhicule à un centre de réparation lors d'un prochain fonctionnement du véhicule, cette étape étant référencée 10 et 11. 35 Par exemple, à la sous-étape 10, une série de démarrages est incrémentée pour lesquels il sera procédé à un ou des dysfonctionnements temporaires pour chaque démarrage. A la sous-étape 11, une durée pour un type de dysfonctionnement temporaire 9 est sélectionnée, sachant qu'avantageusement, la durée des dysfonctionnements temporaires va croître avec le nombre de démarrages, le xième démarrage présentant un dysfonctionnement temporaire de durée plus élevée que le xième-1 démarrage, ceci par exemple au moins pour les quatre premiers démarrages se succédant. 5 En effet, il peut être mis en place une série de dysfonctionnements temporaires affectant un fonctionnement du véhicule périodiquement ou à un moment déterminé de fonctionnement du véhicule automobile, ceci comme précédemment indiqué avantageusement au démarrage du véhicule automobile. Les dysfonctionnements temporaires peuvent aller croissant en durée et/ou en 10 ampleur du dysfonctionnement plus un nombre de dysfonctionnements temporaires ayant été déjà effectués augmente, ceci au moins pour les premiers dysfonctionnements temporaires de la série, avantageusement mais non limitativement pour les quatre premiers dysfonctionnements. Par exemple, la durée des quatre premiers dysfonctionnements temporaires, 15 en partant du premier dysfonctionnement temporaire ayant lieu, peuvent être respectivement de 2, 4, 6 et 10 secondes. Comme types de dysfonctionnements temporaires à mettre en oeuvre et concernant le moteur thermique, il peut être cité non limitativement une coupure d'injection de carburant, un blocage d'un démarreur pour un véhicule automobile à moteur 20 thermique ou une coupure de commande de couple pour un moteur électrique. Dans le cadre de l'invention, les dysfonctionnements peuvent être autres que concernant un moteur thermique et/ou électrique du véhicule mais ce sont les cas les plus fréquents. La planification des dysfonctionnements temporaires est préférée lors d'un démarrage, le véhicule étant à l'arrêt et la conduite du véhicule non encore débutée 25 n'étant pas affectée, ce qui serait le cas pour un véhicule roulant avec une aggravation du danger lors ces dysfonctionnements temporaires. Pour une planification des dysfonctionnements temporaires en roulage, les ampleurs des dysfonctionnements comme le pourcentage de réduction d'injection de carburant dans un moteur thermique ou le pourcentage de réduction de la commande de 30 couple pour un moteur électrique peuvent être modulés crescendo lors de différents roulages successifs. Avec de tels dysfonctionnements temporaires pouvant atteindre par exemple et non limitativement 10 secondes lors d'un démarrage, le conducteur sera vraisemblablement convaincu bien qu'à tort que l'unité de contrôle électronique vérifiée, 35 avantageusement une unité de contrôle moteur, est déficiente et doit être réparée, ce qui va la faire reprogrammer. 10 Les centres de réparation devront être équipés de moyens de reprogrammation de l'unité de contrôle électronique vérifiée comme étant non conforme, avantageusement en se connectant au serveur 7 précédemment mentionné. Au centre de réparation, en se référant à la figure 3, il est procédé au 5 questionnement 12 à savoir si l'état d'intégrité doit être restauré. Si la réponse est oui O, il est procédé à une reprogrammation de l'unité, l'unité annulant le statut d'intégrité non conforme et le véhicule automobile le communiquant au serveur 7. Le ou les dysfonctionnements temporaires sont supprimés. Ceci est illustré par l'étape de reprogrammation 13 comprenant aussi l'annulation des dysfonctionnements 10 temporaires et de l'information du conducteur d'un statut non conforme. Si la réponse est non N, l'unité de contrôle électronique n'est pas reprogrammée et il est procédé à d'autres réparations sur le véhicule ce qui est référencé AR pour autres réparations. L'invention concerne aussi un véhicule automobile équipé d'au moins une 15 unité électronique de contrôle, le véhicule automobile mettant en oeuvre un procédé tel que précédemment décrit. Le véhicule, le cas échéant par une autre unité électronique de contrôle comme l'unité de contrôle du véhicule automobile ou ladite au moins une unité vérifiée, comprend des moyens d'émission et de réception de données vers un serveur 7 externe. 20 Le véhicule comprend des moyens d'information 14 du conducteur du véhicule automobile d'un statut d'intégrité non conforme pour l'état en vigueur de programmation de l'unité. Ceci permet d'alerter le conducteur mais peut n'être pas suffisant, sachant que le conducteur est peut-être à l'origine de la reprogrammation fallacieuse et le sait pertinemment. 25 De plus et surtout, l'unité vérifiée comprend des moyens de mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une défaillance du véhicule. Il est important que le ou les dysfonctionnements temporaires soient associés à l'unité vérifiée afin que l'unité vérifiée soit jugée par le conducteur comme étant la source de ce ou ces dysfonctionnements provoqués alors artificiellement par l'unité de contrôle électronique. 30 Le procédé peut être mis en application successivement pour différentes unités de contrôle électronique. De préférence, l'unité ou une unité électronique de contrôle est une unité de contrôle moteur, les moyens de mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une défaillance du moteur étant intégrés à l'unité de contrôle moteur. 35 Les moyens d'émission et de réception de données vers un serveur 7 externe peuvent être intégrés à l'unité de contrôle moteur ou à une unité de contrôle du véhicule automobile. Dans ce dernier cas, une communication entre l'unité de contrôle moteur et 11 l'unité de contrôle du véhicule automobile se fait antérieurement à une émission de l'unité de contrôle du véhicule vers le serveur 7. De manière usuelle, les moyens d'information 14 peuvent être commandés par l'unité de contrôle du véhicule automobile ou par l'unité de contrôle moteur via l'unité 5 de contrôle du véhicule automobile. De manière classique, ces moyens d'information 14 peuvent être sous la forme d'une REVENDICATIONS1. Procédé de préservation d'une intégrité d'une unité de contrôle électronique embarquée dans un véhicule automobile en cas de modifications non autorisées de la programmation de l'unité, l'unité étant reprogrammable et en communication à distance avec un serveur (7) sécurisé conservant dans une base de données (7a) des données spécifiques à l'unité préalablement mémorisées et représentatives de sa programmation autorisée, caractérisé en ce qu'à intervalle régulier, le véhicule envoie (2) des données dites envoyées au serveur (7) représentatives d'un état en vigueur de programmation de l'unité, le serveur (7) effectuant une comparaison des données envoyées avec les données spécifiques à l'unité mémorisées dans la base de données (7a) et, quand une modification des données envoyées par rapport aux données spécifiques conservées est détectée, le serveur (7) envoie un statut d'intégrité non conforme en retour au véhicule et, d'une part, le véhicule informant (9) un conducteur du véhicule automobile d'une réception d'un statut d'intégrité non conforme et, d'autre part, l'unité mettant en oeuvre une planification (10, 11) d'au moins un dysfonctionnement temporaire, lors d'un prochain fonctionnement du véhicule, simulant une défaillance du véhicule incitant le conducteur à amener son véhicule à un centre de réparation. 2. Procédé selon la revendication précédente, caractérisé en ce que les données envoyées au serveur représentatives d'un état en vigueur de programmation de l'unité sont relatives à des sommes de contrôle de son état en vigueur de programmation, d'un ensemble de calibrations de son état en vigueur de programmation ou de tout autre moyen d'identification de son état de programmation, un numéro d'identification associé au véhicule étant aussi envoyé au serveur (7) pour une reconnaissance des données spécifiques à l'unité par rapport à des données spécifiques d'unités de contrôle électronique d'autres véhicules stockées dans la base de données (7a) du serveur (7). 3. Procédé selon l'une quelconque des deux revendications précédentes, caractérisé en ce qu'il est mis en place une série de dysfonctionnements temporaires affectant un fonctionnement du véhicule périodiquement ou à un moment déterminé de fonctionnement du véhicule automobile, les dysfonctionnements temporaires allant croissant en durée et/ou en ampleur du dysfonctionnement plus un nombre de dysfonctionnements temporaires ayant été déjà effectués augmente, ceci au moins pour les premiers dysfonctionnements temporaires de la série. 4. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le serveur (7) envoie vers le véhicule avec le statut d'intégrité non conforme la planification dudit au moins un dysfonctionnement temporaire à mettre en oeuvre par 35 l'unité. 13 5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que l'envoi par le véhicule des données représentatives d'un état en vigueur de programmation de l'unité se fait lors d'un mode de verrouillage précédant une mise en veille de l'unité, une périodicité d'envoi étant fixée avec un envoi une fois qu'un nombre 5 prédéterminé de modes de verrouillage a été atteint, le conducteur du véhicule automobile étant informé dans le cas d'un statut d'intégrité non conforme et l'unité planifiant au moins un dysfonctionnement temporaire lors d'un prochain démarrage du véhicule automobile. 6. Procédé selon la revendication précédente, caractérisé en ce que ledit au 10 moins un dysfonctionnement temporaire est une coupure d'injection de carburant, un blocage d'un démarreur pour un véhicule automobile à moteur thermique ou une coupure de commande de couple pour un moteur électrique. 7. Procédé selon les revendications 3 et 6, caractérisé en ce que la durée des premiers dysfonctionnements temporaires en partant du premier dysfonctionnement 15 temporaire ayant lieu sont progressivement incrémentés. 8. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'au centre de réparation, il est procédé à une reprogrammation de l'unité, l'unité annulant le statut d'intégrité non conforme et le véhicule automobile le communiquant au serveur (7). 20 9. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, quand aucune modification des données envoyées par rapport aux données spécifiques conservées n'est détectée, le serveur (7) envoie un statut d'intégrité conforme à l'unité et aucun dysfonctionnement temporaire simulant une défaillance du véhicule incitant le conducteur à amener son véhicule à un centre de réparation n'est planifié. 25 10. Véhicule automobile équipé d'au moins une unité électronique de contrôle, le véhicule automobile mettant en oeuvre un procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le véhicule ou ladite au moins une unité comprend des moyens d'émission et de réception de données vers un serveur (7) externe et des moyens d'information (14) du conducteur du véhicule automobile d'un 30 statut d'intégrité non conforme pour l'état en vigueur de programmation de l'unité, l'unité comprenant des moyens de mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une défaillance du véhicule. 11. Véhicule automobile selon la revendication précédente, caractérisé en ce que ladite au moins une unité électronique de contrôle est une unité de contrôle moteur, 35 les moyens de mise en oeuvre d'au moins un dysfonctionnement temporaire simulant une 14 défaillance du moteur étant intégrés à l'unité de contrôle moteur, les moyens d'émission et de réception de données vers un serveur (7) externe étant intégrés à l'unité de contrôle moteur ou à une unité de contrôle du véhicule automobile, les moyens d'information (14) étant commandés par l'unité de contrôle du véhicule automobile en étant sous la forme 5 d'une icône allumée sur un tableau de bord du véhicule automobile.