Brevet FR3099835A1 — publié le 20210212

Description Titre de l'invention : Procédé d'écriture dans une zone de données sécurisée d'un calculateur sur bus embarqué de véhicule. [0001] L'invention concerne un procédé d'écriture dans une zone de données d'un cal- culateur sur bus embarqué de véhicule lorsque la zone de données est sécurisée. L'invention concerne notamment un procédé d'écriture d'une structure de données à partir d'un premier calculateur embarqué dans un véhicule, dans la zone de données sécurisée d'un deuxième calculateur embarqué dans le véhicule. [0002] Le procédé selon l'invention, est particulièrement utile pour réaliser des mises à jour de configurations du véhicule en attribuant de nouvelles valeurs aux paramètres gérés par les calculateurs embarqués. [0003] Les mises à jour de calculateurs embarqués et l'exécution de programmes temps réels, nécessitent généralement des émissions de commandes sur un ou plusieurs bus embarqués. Des compteurs de temps sont généralement mis en oeuvre pour contrôler la durée qui sépare l'émission d'une commande de la réception d'une réponse à cette commande, avec pour inconvénient une augmentation de durée lorsque la quantité dc commandes augmente. [0004] De telles mises à jour constituent des intrusions sur le réseau embarqué du véhicule pour lesquelles il faut s'assurer de leur légitimité. [0005] Par exemple le document W02016/055730 divulgue un procédé de détection temps réel d'intrusion dans un réseau embarqué de communication dc véhicule. Le procédé divulgué comprend des étapes consistant à observer un flux de messages circulant sur le réseau embarqué et à détecter une intrusion lorsque le flux observé contient un message prohibé. La simple écriture de valeurs dans une structure dc données peut se contenter d'un unique message constitué par une commande d'écriture de valeurs dont l'authenticité est contrôlée par une signature numérique. Cependant la vérification de l'authenticité dc données par une signature présente des inconvénients parmi lesquels on peut citer ceux de faire appel à des ressources de calcul conséquentes pour exécuter les opérations de chiffrement et déchiffrement. On peut aussi citer les risques de blocage du système en raison temps nécessaire aux opérations de chiffrement et déchiffrement, lequel peut se montrer préjudiciables aux opérations temps réel qui s'exécutent en parallèle. [0006] Pour remédier aux inconvénients posés par l'état antérieur de la technique, l'invention a pour objet un procédé d'écriture de valeurs d'une structure de données à partir d'un premier calculateur embarqué dans un véhicule, dans une première zone sécurisée de données d'un deuxième calculateur embarqué dans le véhicule, 2 comprenant des étapes consistant à : - émettre une commande principale d'écriture d'une signature courante contenue dans une requête d'écriture des valeurs de ladite structure de données, reçue par le premier calculateur en provenance d'un serveur distant, la requête d'écriture comprenant par ailleurs un identificateur du deuxième calculateur, un identificateur de ladite zone sécurisée de données, les valeurs de la structure de données à écrire ; - vérifier que la signature courante est recevable indépendamment des valeurs de la structure de données à écrire ; - émettre une commande principale d'écriture des valeurs de la structure de données à condition que la signature courante porte sur les valeurs de la structure de données à écrire ; - vérifier que la signature courante porte sur les valeurs de la structure de données à écrire lorsque la signature courante est recevable ; - écrire les valeurs de la structure de données, dans celle des zones sécurisées du deuxième calculateur si la signature courante porte sur les valeurs de la structure de données à écrire. [0007] Particulièrement, le procédé comprend une étape consistant à vérifier que la signature courante est recevable à condition au moins que le deuxième calculateur partage une même valeur de confiance avec un troisième calculateur. [0008] Plus particulièrement la valeur de confiance est la valeur d'une signature antérieure, liée à une précédente requête d'écriture reçue. [0009] Plus particulièrement aussi, le procédé comprend des étapes consistant à : - émettre la commande principale d'écriture de signature courante, en envoyant à partir du premier calculateur, une commande auxiliaire d'écriture d'un descriptif de la commande principale d'écriture de signature courante à destination du troisième calculateur - envoyer à partir du troisième calculateur, une commande auxiliaire d'écriture de la valeur de confiance à destination du deuxième calculateur ; - vérifier dans le deuxième calculateur que la signature courante est recevable. [0010] Encore plus particulièrement, le procédé comprend des étapes consistant à : - envoyer à partir du troisième calculateur, une commande auxiliaire d'écriture de la valeur de signature courante à destination du deuxième calculateur - vérifier dans le deuxième calculateur que la signature courante est recevable à condition que de plus, la valeur de confiance soit différente de la valeur de signature courante. [0011] Avantageusement, le procédé comprend des étapes consistant à : - émettre la commande principale d'écriture des valeurs de la structure de données, en envoyant à partir du calculateur, une commande auxiliaire d'écriture d'un descriptif 3 de la commande principale d'écriture des valeurs de la structure de données à destination du troisième calculateur ; - vérifier dans le troisième calculateur que la signature courante porte sur les valeurs de la structure de données à écrire. [0012] De préférence, la signature porte de plus sur un identificateur du véhicule. [0013] Avantageusement, le procédé comprend une étape consistant à : - envoyer à partir du troisième calculateur, une commande auxiliaire d'écriture des valeurs de la structure de données de manière à écrire les valeurs de la structure de données, dans celle des zones sécurisées du deuxième calculateur à condition que la signature courante porte sur les valeurs de la structure de données à écrire. [0014] Particulièrement, la structure de donnée comprend une valeur d'anti-réexécution de sorte que le procédé comprend une étape consistant à : - vérifier que la valeur d'anti-réexécution, reçue avec la commande auxiliaire d'écriture des valeurs de la structure de données, est supérieure à une valeur d'anti-réexécution précédemment reçue par le deuxième calculateur. [0015] Plus particulièrement, la valeur d'anti-réexécution est un nombre entier qui code une date exprimée en année, mois, jour, heure, minute, seconde. [0016] Le procédé est remarquable en ce que sa mise en oeuvre dans le deuxième calculateur comporte une machine à nombre fini d'états. [0017] D'autres avantages et caractéristiques de l'invention apparaîtront à la lecture de la description détaillée de modes de mise en oeuvre et de réalisation, à titre d'exemples illustratifs et non limitatif, en référence aux dessins annexés dans lesquels : [0018] [fig.l] montre schématiquement un système embarqué de véhicule sur lequel est mise en oeuvre l'invention ; [0019] [fig.2] montre schématiquement des trames de commandes avec lesquelles est mise en oeuvre l'invention ; [0020] [fig.3] montre des étapes de procédé conforme à l'invention, relatives à une phase de reconnaissance ; [0021] [fig.4] montre des étapes de procédé conforme à l'invention, relatives à une phase de transmission de signature courante ; [0022] [fig.5] montre des étapes de procédé conforme à l'invention, relatives au passage à une phase d'écriture sécurisée en soi ; [0023] [fig.6] montre des étapes de procédé conforme à l'invention, relatives à la phase d'écriture sécurisée en soi. [0024] [fig.l] montre deux calculateurs 9, 10 connectés à un bus embarqué 1 dans un véhicule, et trois calculateurs 12, 13, 14 connectés à un bus embarqué 2 dans le véhicule. Le calculateur 9 est par exemple un calculateur embarqué dédié aux télécom- munications de type 1VC (In Vehicle Communication en anglais). Le calculateur 10 est par exemple un calculateur embarqué de type IVI (In Vehicle Infotainment en anglais), dont les capacités de traitement informatique sont comparables à celles d'un micro-ordinateur. D'autres calculateurs embarqués, non représentés, peuvent être connectés au bus embarqué 1. Les calculateurs 12, 13, 14 connectés au bus embarqué 2, sont de préférence des calculateurs embarqués de contrôle-commande d'organes du véhicule de type ECU (Electronic Control Unit). Un calculateur 11 connecté au bus embarqué 1 et au bus embarqué 2, exerce des fonctions de passerelle entre les deux bus embarqués. [0025] Le calculateur embarqué 12 comprend plusieurs zones 63 à 68 de mémoire réins- criptible pour mémoriser de manière permanente des données qui y sont écrites notamment au moyen du procédé exposé ci-après. Chaque zone de mémoire est accessible en lecture et en écriture au moyen d'un identificateur de structure de données, sous contrôle d'un mécanisme d'accès mémoire du calculateur embarqué 12. A titre purement illustratif et non limitatif, la zone 63 dédiée à la mémorisation permanente d'une signature numérique est accessible uniquement dans le calculateur 12 par un identificateur de valeur hexadécimale constante FOAS mais n'est directement accessible ni en lecture, ni en écriture par une commande extérieure au calculateur 12. De même la zone 64 dédiée à la mémorisation provisoire de la signature numérique est accessible uniquement dans le calculateur 12 par un identificateur de valeur hexadécimale constante FOA6 mais n'est directement accessible ni en lecture, ni en écriture par une commande extérieure au calculateur 12. Chacune de plusieurs zones 65, 66 dédiées à une écriture libre de valeurs de structure de données, est accessible en lecture et en écriture par une commande extérieure au moyen d'un identificateur de valeur distincte qui varie en fonction de la zone 65, 66. Chacune de plusieurs zones 67, 68 dédiées à une écriture sécurisée de valeurs de structure de données, est accessible uniquement en lecture par une commande extérieure au moyen d'un identificateur de valeur distincte qui varie en fonction de la zone 67, 68 à laquelle il s'adresse, mais n'est accessible en écriture par une commande extérieure au moyen d'un identificateur que sous le contrôle particulier du procédé expliqué dans la suite de la description. [0026] Les calculateurs embarqués 13, 14, contiennent des zones de mémoire réinscriptible (non représentées) agencées de manière semblable à celles du calculateur embarqué 12. [0027] Le calculateur embarqué 11 comprend plusieurs zones de mémoire réinscriptible pour mémoriser de manière permanente, et accessibles chacune en lecture et en écriture au moyen d'un identificateur de structure de données. A titre purement illustratif et non limitatif, une zone 61 constamment dédiée à la mémorisation d'une commande est accessible par un identificateur de valeur hexadécimale constante, par exemple FOA3, une zone 62 constamment dédiée à la mémorisation d'une réponse est accessible par un identificateur de valeur hexadécimale constante par exemple FOA4. [0028] [fig.3] montre des étapes de procédé d'écriture sécurisée de valeurs d'une structure de données à partir du premier calculateur 10 embarqué dans le véhicule, dans une première zone de données sécurisée d'un deuxième calculateur 9, 12, 13, 14 embarqué dans le véhicule. Une structure de données consiste en un ensemble d'une ou plusieurs valeurs numériques, ordonnées pour instancicr chacune une variable. Au moins une variable correspond à un paramètre de fonctionnement du véhicule. Avantageusement, une variable supplémentaire correspond à un paramètre d'anti-réexécution. La structure de donnée contient alors de plus une valeur d'anti-réexécution qui est conçue pour être systématiquement supérieure à une valeur d'anti-réexécution précédemment reçue. La valeur d'anti-réexécution peut par exemple coder une date exprimée en années, jours, heures, minutes, secondes. [0029] Le calculateur 10 initialement dans une étape 100 de veille, passe dans une étape 102 lorsqu'une requête d'écriture sécurisée soumise par un procédé d'ordre supérieur, par exemple un procédé de configuration du calculateur 12, valide une transition 101. La requête d'écriture sécurisée provient notamment d'un serveur distant, directement par télécommunication, ou indirectement par branchement sur le véhicule d'un dispositif de stockage numérique. A titre illustratif, la requête d'écriture sécurisée peut contenir un identificateur de calculateur parmi les calculateurs 12, 13, 14 connectés sur le bus 2 embarqué, en l'occurrence l'identificateur du calculateur 12 pour les explications qui suivent. L'identificateur de calculateur peut consister en une adresse de calculateur conforme au protocole de communication du bus 2, de type CAN (Controller Area Network), Flex Ray ou TTP aussi connus dans le domaine aéronautique, Ethernet automobile ou autre. L'identificateur de calculateur peut aussi consister en une chaîne de caractères ASCII, notamment un acronyme qui nomme le calculateur dans son univers fonctionnel, par exemple « BCM » (Body Control Module pour module de contrôle de caisse en anglais), « HEVC » (Hybrid Electric Vehicle Controller pour Contrôleur de véhicule hybride électrique), « ADAS » (acronyme de Advanced Driver Assistance System pour système d'aide à la conduite automobile en anglais) ou autre. Une chaîne de caractères ASCII a pour avantage de pouvoir désigner un calculateur indépendamment d'une architecture de système embarqué. Une chaîne de caractères ASCII a aussi pour avantage de constituer un moyen mnémotechnique plus facilement compréhensible pour l'être humain. A titre illustratif encore, la requête d'écriture peut contenir un identificateur de donnée dans le calculateur identifié. [0030] La requête d'écriture sécurisée contient notamment les valeurs de la structure de données à écrire en zone sécurisée du deuxième calculateur, un identificateur de zone sécurisée en mémoire du deuxième calculateur dans laquelle écrire les valeurs de la structure de données, et une signature courante qui porte au moins sur ladite 6 structure de données. [0031] En étape 102, le calculateur 10 génère deux commandes principales d'écriture en construisant pour chacune un descriptifs de commande principale d'écriture à partir de la requête qui a validé la transition 101. Une première commande principale d'écriture a pour but de faire écrire par le deuxième calculateur 12, la signature courante dans la zone 63 de sa mémoire réinscriptible. La zone 63, de données sécurisées ou non sécurisées, est adressée à titre purement illustratif et non limitatif par l'identificateur FOA5. Une deuxième commande principale d'écriture a pour but de faire écrire par le deuxième calculateur 12, la structure de données dans celle des zones 67, 68 de sa mémoire réinscriptible, indiquée par r identificateur de la zone de données dans laquelle la requête d'écriture sécurisée reçue, demande à écrire les valeurs de la structure de données courante. Alors que la zone de données 63 reste la même pour toute requête d'écriture reçue, des requêtes d'écriture successives peuvent adresser des zones de données 65, 66, 67, 68 différentes par des identificateurs de valeurs différentes. [0032] En étape 102, le calculateur 10 génère ensuite une première commande auxiliaire d'écriture du descriptif de la première commande principale dans une première zone dédiée 61 de données, résidente en mémoire du calculateur 11. La zone de données 61, est adressée à titre purement illustratif et non limitatif par l'identificateur F0A3 dans la suite de la description des étapes du procédé. [0033] [fig.2] montre un exemple de commande auxiliaire d'écriture qui comporte une trame 21. La trame 21 comprend un champ 31 identifiant la commande générée en tant que commande d'écriture, un champ 32 identifiant la première zone dédiée 61, et au moins un champ 33, 34, 35, 36 pour contenir le descriptif 27 de la commande principale. [0034] Le champ 33 qui compose le descriptif 27, donne un type de commande principale. A titre purement illustratif et non limitatif, le type de commande principale est par exemple identifié par deux lettres en code ASCII. La première lettre identifie une classe de commande principale, en l'occurrence « W » pour écriture. La deuxième lettre en combinaison avec la première, identifie une action au sein de la classe de commande principale, en l'occurrence, « WD » pour écrire une structure de données. Le champ 34 qui compose le descriptif 27, donne un identificateur de calculateur embarqué, notamment tel qu'il est indiqué dans la requête, en d'autres termes sous forme d'acronyme qui nomme le calculateur destinataire final. Les champs 35, 36 qui composent le descriptif 27, contiennent des valeurs de paramètres utiles à l'exécution de la commande principale. Dans l'exemple illustré par la figure 3, le champ 35 de paramètres, contient comme paramètre utile au calculateur 11 pour participer au traitement de la commande principale, l'identificateur de donnée à écrire qui est celui de la zone 63 dans laquelle écrire la signature, à titre purement illustratif et non 7 limitatif r identificateur de valeur FOAS, et la valeur de signature courante. Le champ 36 de paramètres, contient comme paramètre utile au calculateur 11 pour participer au traitement de la commande principale, une valeur de signature courante. [0035] Plus particulièrement, l'utilisation d'une commande d'écriture conforme au protocole UDS de services unifiés de diagnostic, présente l'avantage de bénéficier du mécanisme généralement préinstallé dans une majorité de calculateurs embarqués du monde automobile, notamment pour effectuer les fonctions de diagnostic, sans avoir à modifier les couches basses de communication pour mettre en oeuvre le procédé d'écriture sécurisée conforme à l'invention. Dans ce cas particulier, le champ 31 contient alors le SID (Service Identifier pour identificateur de service en anglais) $2E qui est le code hexadécimal connu d'une écriture de données par identificateur DfD, ici de valeur FOA3 contenu dans le champ 32. [0036] Une transition 103 de passage de l'étape 102 à une étape 104, est validée lorsque le calculateur 11 est détecté prêt pour répondre à la première commande auxiliaire d'écriture supportée par la trame 21. De la sorte, si le calculateur 11 effectue une fonction de passerelle pour une autre instance du procédé d'écriture selon l'invention, ou une fonction de passerelle pour une commande générée par un autre procédé comme par exemple un procédé de diagnostic, le calculateur 10 reste en attente sur l'étape 102. Le calculateur 10 n'encombre pas inutilement le bus 1 avec des tentatives d'émissions de commande qui resteraient sans effet en raison de l'occupation du calculateur 11 par d'autres fonctions. Dans l'exemple d'un traitement en cours d'une commande de diagnostic propre à un autre procédé, la mise en attente momentanée du procédé d'écriture sécurisée sur l'étape 102, permet l'exécution de la commande de diagnostic sans avoir à interrompre le procédé de diagnostic. [0037] Plusieurs solutions peuvent être envisagées pour détecter si le calculateur 11 est prêt pour répondre à la commande auxiliaire d'écriture supportée par la trame 21. Par exemple dans le cas où le calculateur 10 serait le seul à dialoguer avec le calculateur 11 sur le bus 1, une couche supérieure d'ordonnancement dans le calculateur 10, pourrait contrôler l'état prêt ou non du calculateur 11. Cette solution serait difficile à mettre en oeuvre lorsqu'un autre calculateur 9, dialoguerait avec le calculateur 11 sur le bus 1, par exemple pour exécuter un diagnostic à distance. Différemment, le calculateur 10 pourrait par exemple observer le bus 1 pour y détecter les trames à destination du calculateur 11, pour lesquelles le calculateur 11 ne serait pas prêt pour répondre à la commande d'écriture supportée par la trame 21. Cette autre solution présenterait rapidement un problème de complexité en cas de nombreux procédés empruntant la voie du bus 1. D'autres solutions sont envisageables sans sortir du cadre de l'invention. [0038] Selon une solution préférée pour détecter si le calculateur 11 est prêt, c'est le cal- culateur 11 qui se déclare lui-même prêt ou non pour traiter les commandes émises 8 dans le cadre du procédé d'écriture sécurisée conforme à l'invention. Le calculateur 11 émet périodiquement sur le bus 1, un signal comportant deux états, prêt, occupé. [0039] Dans une étape initiale 300 de veille, le calculateur 11 positionne par défaut le signal à l'état prêt. Dès que le calculateur 11 reçoit une commande, que ce soit du procédé d'écriture sécurisée selon l'invention ou de tout autre procédé comme par exemple du procédé de diagnostic, le calculateur 11 positionne le signal à l'état occupé jusqu'à avoir terminé le traitement de la commande en cours. [0040] En étape 104, le calculateur 11 ayant été détecté prêt pour répondre à la commande d'écriture, le calculateur 10 émet la commande principale d'écriture de signature courante, en envoyant son descriptif dans la première commande auxiliaire d'écriture à destination du calculateur 11. Pour émettre la commande auxiliaire d'écriture qui est la commande auxiliaire d'écriture du descriptif de la première commande principale, le calculateur 10 peut encapsuler la trame 21 dans une trame CAN sur le bus 1, ou d'autre manière, par exemple encapsuler la trame 21 dans une trame sur IP si le protocole Ethernet pour véhicule est utilisé sur le bus 1. [0041] Une réception de la première commande auxiliaire d'écriture, en d'autres termes de la commande auxiliaire d'écriture du descriptif de la première commande principale, dans le calculateur 11, valide une transition 301 qui est nécessaire pour faire passer le calculateur 11 de l'étape initiale 300 à une étape 302 dans laquelle le calculateur 11 émet à destination de celui des calculateurs 12, 13, 14 identifié dans le champ 34, par exemple le calculateur 12, une deuxième commande auxiliaire d'écriture pour traiter la première commande principale, à partir du descriptif 27 de la commande principale, écrit dans la zone dédiée 61 de données du calculateur 11. [0042] Dès validation de la transition 301, le calculateur 11 exécute en étape 302 la première commande auxiliaire d'écriture et envoie au calculateur 10 un accusé de bonne exécution. De plus, le calculateur 11 positionne en étape 302, le signal périodique à l'état occupé. [0043] Dans le cas particulier de la figure 3 pour lequel la première commande principale est une commande pour écrire la signature courante dans le calculateur 12, la figure 2 donne un exemple de deuxième commande auxiliaire qui comporte une trame 29 comprenant un champ 53 d'identification de commande d'écriture, un champ 54 d'identification d'une zone de données résidente dans le calculateur 12, avec un champ 55 qui contient au moins une valeur à écrire dans la zone de données identifiée par le champ 54. [0044] Plus particulièrement, l'utilisation d'une commande d'écriture conforme au protocole UDS de services unifiés de diagnostic, présente les avantages ci-dessus mentionnés. Dans ce cas particulier, le champ 53 contient alors le SID $2E qui est le code hexadécimal connu d'une écriture de données par identificateur DEI/ 9 [0045] Par exemple, dans le cas de l'utilisation du protocole UDS, l'accusé de bonne exécution de la première commande auxiliaire d'écriture est matérialisé par une trame 22 dont un premier champ 37 contient le code SM de valeur $6E, et dont un deuxième champ 38 contient la valeur du champ 32 de la trame 21 pour permettre au calculateur 10 de reconnaître la commande d'écriture émise à laquelle correspond l'accusé de réception reçu. En d'autres termes, le champ 38 constitue un champ d'identifiant de la première zone dédiée 61, à titre illustratif de valeur FOA3. [0046] Dans une première variante de mise en oeuvre du procédé pour laquelle le calculateur 12 dispose de suffisamment de ressources de calcul pour traiter la conformité de la signature courante à la structure de donnée à écrire, le calculateur 11 place en étape 302, directement dans le champ 54 l'identificateur de la zone de données 63, en l'occurrence de valeur FORS, destinée à contenir la signature courante. [0047] Dans une deuxième variante de mise en oeuvre du procédé pour laquelle les cal- culateurs destinataires 12, 13, 14 ne disposent pas de suffisamment de ressources de calcul pour traiter la conformité de la signature courante à la structure de donnée à écrire, le calculateur 11 accède à une table associative qui répertorie pour chaque identificateur de calculateur, une signature antérieure reçue avant la signature courante. La signature antérieure est répertoriée dans la table associative comme étant actuellement égale au contenu de la zone de données 63 identifiée ici par la valeur FOAS du calculateur identifié par son trigramme. En étape 302, le calculateur 11 place dans le champ 54 non pas l'identificateur de la zone de données 63 destinée à contenir la signature courante, tel qu'il est indiqué dans le premier descriptif de commande principale d'écriture, mais un identificateur de la zone 64 de données intermédiaire, de valeur par exemple égale à FOA6, à titre purement illustratif et non limitatif. Concomitamment en étape 302, le calculateur 11 place dans le champ 55 le contenu a priori de la zone de données 64 tel qu'il est donné par la table associative. [0048] Une réception par le calculateur 10 du signal périodique positionné à l'état occupé, ou de la trame 22, valide une transition 105 qui fait passer le procédé de l'étape 104 à une étape 106 dans le calculateur 10. Dans l'étape 106, le calculateur 10 se met en attente du signal positionné à l'état prêt. [0049] Les étapes décrites à présent en référence à la figure 3, correspondent à la deuxième variante de mise en oeuvre de l'invention, particulièrement avantageuse pour le calculateur 12 ne disposant pas de ressources de calcul suffisante pour traiter une conformité de signature. Le calculateur 12 initialement dans une étape de veille 200 du procédé d'écriture sécurisée conforme à l'invention, valide une transition 201 lorsqu'il reçoit la commande auxiliaire matérialisée par la trame 29 émise par le calculateur 11 sur le bus 2 embarqué. Une validation de la transition 201 active une étape 202 dans laquelle le calculateur 12 positionne un état de machine à nombre fini d'états, sur une valeur d'état initial, par exemple de valeur 0x00. [0050] En étape 202, le calculateur 12 vérifie si le contenu de la table associative qui lui correspond, tel qu'il est reçu par la deuxième commande auxiliaire d'écriture, est égal à la signature antérieure qu'il contient dans la zone de données 63. La vérification effectuée en étape 202, permet de s'assurer que le calculateur 11 et le calculateur 12 partagent une même valeur de confiance qui est ici celle de la signature antérieure. [0051] Une discordance entre la valeur de signature antérieure contenue dans la zone de données 63 et celle reçue par la deuxième commande auxiliaire d'écriture, valide une transition 203 qui active une étape 204. [0052] En étape 204, le calculateur 12 envoie au calculateur 11, une réponse négative si- gnifiant un non acquittement ou en d'autres termes un accusé de mauvaise exécution de la deuxième commande auxiliaire d'écriture. Le calculateur 12 retourne ensuite en étape initiale 200 car l'écriture sécurisée de la requête, a échoué. Une trame 30 illustrée en figure 2 peut matérialiser la réponse négative en en reprenant en champs 56, 57, 58 les valeurs des champs 53, 54, 55 de la trame 29 et en ajoutant un champ 59 qui contient une valeur de non acquittement. [0053] Une concordance entre la valeur de signature antérieure contenue dans la zone de données 64 et celle reçue par la deuxième commande auxiliaire d'écriture, valide une transition 205 qui active une étape 206. [0054] En étape 206, le calculateur 12 positionne la machine à nombre fini d'états sur un état de phase de reconnaissance acquittée, par exemple mais non nécessairement de valeur 0x05. [0055] En étape 206, le calculateur 12 émet une réponse positive signifiant un acquittement ou en d'autres termes un accusé de bonne exécution de la deuxième commande auxiliaire d'écriture. La trame 30 illustrée en figure 2 permet aussi de matérialiser la réponse positive en en reprenant en champs 56, 57, 58 les valeurs des champs 53, 54, 55 de la trame 29 et en plaçant dans le champ 59 une valeur d'acquittement. [0056] La valeur de confiance partagée dans l'exemple de mise en oeuvre ci-dessus décrit, est la dernière valeur de signature reçue dans une précédente écriture sécurisée. D'autres valeurs de confiance partagées peuvent être utilisées comme par exemple la dernière valeur d'anti-réexécution reçue dans une précédente écriture sécurisée. La suite de la description se base sur la valeur de signature antérieurement reçue car elle est considérée plus simple de mise en oeuvre. L'homme du métier serait à même d'adapter la suite de la description pour une autre valeur de confiance partagée comme par exemple la dernière valeur d' anti-réexécution reçue s'il préférait ne pas utiliser la dernière valeur de signature reçue. [0057] Ainsi la deuxième commande auxiliaire d'écriture constitue une commande auxiliaire d'écriture d'une valeur de confiance partagée par le deuxième calculateur 12 et par le 11 troisième calculateur 11. [0058] [fig.4] montre des étapes de procédé à la suite des étapes représentées en figure 3, notamment pour transmettre la signature courante au deuxième calculateur lorsqu'il en convient ainsi. [0059] Une réception de réponse négative par le calculateur 11, valide une transition 303 qui fait passer le procédé de l'étape 302 à une étape 308 dans laquelle le calculateur 11 construit un descriptif de réponse négative à la première commande principale d'écriture dans le calculateur 12. Le descriptif de réponse est basé par exemple sur un descriptif de réponse 28 qui comprend des champs 43, 44, 45, 46 pour contenir chacun respectivement les valeurs des champs 33, 34, 35, 36 du descriptif de commande 27 de manière à identifier que le descriptif de réponse est bien celui qui correspond au descriptif de première commande principale d'écriture. Le descriptif de réponse 28 comprend de plus un champ 47 pour contenir une valeur indiquant que le contenu du champ 45 n'a pas été écrit dans la zone 63 de la mémoire réinscriptible du calculateur 12. [0060] Dans une étape 312 effectuée directement à la suite de l'étape 308, le calculateur 11 place la valeur 0x0000 dans le champ 47 puis mémorise le descriptif de réponse 28 dans une deuxième zone 62 de données, résidente en mémoire du calculateur 11, dédiée à contenir la réponse à la commande mémorisée en zone 61. Dans l'étape 312, le calculateur 11 positionne ensuite le signal périodique à l'état prêt. Le calculateur 11 peut aussi plus simplement placer la seule valeur 0x0000 dans la zone 62 pour indiquer l'échec d'exécution de la première commande principale d'écriture, sans construire le descriptif de réponse exposé au paragraphe précédent. [0061] Une réception de réponse positive par le calculateur 11 valide une transition 305 qui fait passer le procédé de l'étape 302 à une étape 306 dans laquelle le calculateur 11 émet une troisième commande auxiliaire d'écriture à destination du calculateur 12, sous forme ici encore de trame 29. Le champ 54 de la trame 29 contient cette fois l'identificateur de la zone de donnée effective pour y écrire la signature courante, par exemple à titre purement illustratif, la valeur FOA5 pour identifier la zone 63 de données. Ainsi, la troisième commande auxiliaire d'écriture constitue une commande auxiliaire d'écriture de signature courante. [0062] Une réception de la commande auxiliaire d'écriture de signature courante par le cal- culateur 12, valide une transition 207 qui active une étape 208 dans laquelle le calculateur 12 vérifie que la machine à nombre fini d'états est bien dans l'état de phase de reconnaissance acquittée. L'état de phase de reconnaissance acquittée a pour effet technique de renforcer la confiance sur la provenance de la commande auxiliaire d'écriture de signature courante. [0063] Une vérification négative de l'état de phase de reconnaissance acquittée, valide une 12 transition 209 qui active une étape 210. [0064] En étape 210, le calculateur 12 envoie au calculateur 11, unc réponse négative si- gnifiant un non acquittement ou en d'autres ternies un accusé de mauvaise exécution de la troisième commande auxiliaire d'écriture. Le calculateur 12 retourne ensuite en étape initiale 200 car l'écriture sécurisée a échoué. [0065] Une vérification positive de l'état de phase de reconnaissance acquittée, valide une transition 211 qui active unc étape 212. [0066] En étape 212, le calculateur 12 positionne la machine à nombre fini d'états sur l'état initial, par exemple dans le cas précité, de valeur 0x00. La sortie de l'état de phase de reconnaissance acquittée, protège le procédé contre différents problèmes, notamment celui d'une réception de commande intrusive à la suite de la commande auxiliaire d'écriture de la signature courante. En étape 212, le calculateur 12 vérifie de plus que la valeur de signature reçue par la troisième commande auxiliaire d'écriture, est différente du contenu de la zone de données 64 qui contient jusqu'ici la valeur de signature antérieure. La valeur de signature courante ne devrait pas être identique à la valeur de signature antérieure qui porte sur des valeurs de structure de données écrites précédemment. [0067] Une valeur de signature reçue par la troisième commande auxiliaire d'écriture, égale au contenu de la zone 63 de données identifiée par exemple par la valeur F0A5, valide une transition 213 qui active l'étape 210 décrite ci-dessus. [0068] Une réception de réponse négative à la troisième commande auxiliaire d'écriture par le calculateur 11, valide une transition 307 qui active l'étape 308 décrite ci-dessus. [0069] Une valeur de signature reçue par la troisième commande auxiliaire d'écriture, différente du contenu de la zone de données 63, valide une transition 215 qui active une étape 216 [0070] En étape 216, le calculateur 12 écrit la valeur de signature courante clans la zone 64, identifiée par exemple par la valeur FOA6 comme ci-dessus. Lorsque la machine à nombre fini d'états est utilisée pour renforcer la sécurité, le calculateur 12 positionne la machine sur un état de deuxième phase acquittée, par exemple à titre purement illustratif et non limitatif, de valeur OxOF. Enfin, le calculateur 12 émet une réponse positive signifiant un acquittement ou en d'autres termes un accusé de bonne exécution de la troisième commande auxiliaire d'écriture. [0071] Une réception de réponse positive à la troisième commande auxiliaire d'écriture par le calculateur 11, valide une transition 309 qui active une étape 310 dans laquelle le calculateur 11 construit un descriptif de réponse positive à la première commande principale d'écriture dans le calculateur 12. Comme ci-dessus, le descriptif de réponse 28 comprend de préférence les champs 43, 44, 45, 46 qui contiennent chacun respectivement les valeurs des champs 33, 34, 35, 36 du descriptif de commande 27 pour 13 identifier que le descriptif de réponse est bien celui qui correspond au descriptif de première commande principale d'écriture. Le descriptif de réponse 28 comprend aussi le champ 47 pour contenir la valeur finalement écrite dans la zone de données 63 du calculateur 12. [0072] Dans une étape 314 effectuée directement à la suite de l'étape 310, le calculateur 11 place la valeur de signature courante dans le champ 47 puis mémorise le descriptif de réponse 28 dans la deuxième zone dédiée 62 de données, résidente en mémoire du calculateur 11. Dans l'étape 314, le calculateur 11 positionne ensuite le signal périodique à l'état prêt. [0073] Une transition 107 est validée lorsque le calculateur 10 détecte que le calculateur 11 est prêt pour répondre. Dans le cas d'un mode de mise en oeuvre préférée de l'invention, la transition 107 est validée par la réception du signal périodique à l'état prêt. [0074] Une validation de la transition 107 active une étape 108 dans le calculateur 10. En étape 108, le calculateur 11 ayant été détecté prêt pour répondre à une commande de lecture, le calculateur 10 émet une première commande auxiliaire de lecture de la deuxième zone dédiée 62, à destination du calculateur 11. La commande auxiliaire de lecture est par exemple matérialisée par une trame 23 comme représentée en figure 2. La trame 23 comprend un champ 39 d'identification de commande en tant que commande de lecture, et un champ 40 d'identifiant de la deuxième zone dédiée 62 de données, identifiée à titre purement illustratif et non limitatif par la valeur FOA4. [0075] Notamment, dans le cas avantageux d'utilisation du protocole UDS, le champ 39 contient la valeur $22 qui identifie une commande de lecture, et le champ 40 contient par exemple une valeur FOA4 de DID qui est l'adresse de la zone dédiée 62 de données en mémoire du calculateur 11 dans l'exemple illustré ci-dessus. [0076] Une transition 315 est validée lorsque le calculateur 11 reçoit la commande auxiliaire de lecture matérialisée par la trame 23. [0077] Une validation de la transition 315 active une étape 316 dans laquelle le calculateur 11 émet une réponse à destination du calculateur 10. La réponse à la commande auxiliaire de lecture reçue comporte une trame 24 qui comprend un champ 41 d'identifiant de réponse à commande de lecture, et un champ 42 d'identifiant de la deuxième zone dédiée 62, de manière à pouvoir vérifier que la trame 24 constitue la réponse à la commande de lecture matérialisée par la trame 23. La trame 24 contient à la suite le descriptif 28 qui comporte les champs 43, 44, 45, 46 contenant chacun une valeur égale respectivement à celle contenue dans chacun des champs 33, 34, 35, 36 pour rappeler le descriptif de la première commande principale d'écriture. Le descriptif 28 comporte aussi le champ 47 qui contient la valeur mise en étape 312 si la première commande principale d'écriture a échoué, ou qui contient la valeur mise en étape 314 14 si la première commande principale d'écriture a réussi. [0078] Ainsi sc termine la phase de transmission de la signature courante au calculateur embarqué 12. On notera que, en se déclarant non prêt du début de la phase de reconnaissance à la fin de la phase de transmission de la signature courante, le calculateur 11 ferme la porte d'accès au bus 2 par les zones 61 et 62 de sa mémoire, de sorte que le traitement de la première commande principale d'écriture se comporte comme un traitement d'opération atomique sans possibilité d'interruption par une autre commande avant la fin du traitement. [0079] [fig.5] montre des étapes de procédé à la suite des étapes représentées en figure 4. [0080] A la suite de l'étape 108, une transition 109 est validée lorsque le calculateur 10 reçoit la réponse à la commande de lecture, matérialisée par la trame 24. [0081] Une validation de la transition 109 active une étape 110 dans laquelle le calculateur 10 se met en attente de réception du signal périodique à l'état prêt si la réponse reçue est positive, et revient à l'étape initiale 100 si la réponse reçue est négative car dans ce dernier cas, le procédé d'écriture sécurisé ne peut se poursuivre. [0082] Une réception dans le calculateur 10 de signal périodique à l'état prêt, valide une transition 111 qui active une étape 112 dans laquelle le calculateur 10 émet la commande principale d'écriture de valeurs de la structure de données, en envoyant son descriptif dans une quatrième commande auxiliaire d'écriture qui contient le descriptif de deuxième commande principale d'écriture. Ainsi, la quatrième commande auxiliaire d'écriture à destination du calculateur 11, constitue une commande auxiliaire d'écriture de descriptif de commande principale d'écriture de valeurs de structure de données. [0083] Une réception de la quatrième commande auxiliaire d'écriture dans le calculateur 11, valide une transition 317 nécessaire pour faire passer le calculateur 11 de l'étape 316 à une étape 318 qui permet au calculateur 11 d'émettre par la suite à destination de celui des calculateurs 12, 13, 14 identifié dans le champ 34, par exemple le calculateur 12, une cinquième commande auxiliaire d'écriture pour traiter la deuxième commande principale, fondée sur le descriptif 27 de la commande principale qui est écrit clans la zone dédiée 61 de données du calculateur 11. [0084] Dès validation de la transition 317, le calculateur 11 exécute en étape 318 la quatrième commande auxiliaire d'écriture et envoie au calculateur 10 un accusé de bonne exécution. De plus, le calculateur 11 positionne en étape 317, le signal périodique à l'état occupé. [0085] Dans le cas particulier de la figure 5 pour lequel la deuxième commande principale est une commande pour écrire des valeurs de structure de données dans le calculateur 12, la figure 2 donne un exemple de cinquième commande auxiliaire qui comporte une trame 29 comprenant un champ 53 d'identification de commande d'écriture, un champ 54 d'identification du calculateur 12 et d'une zone de données résidente dans le cal- culatcur 12, avec un champ 55 qui contient les valeurs de la structure de données à écrire dans la zone de données identifiée par le champ 54. [0086] Plus particulièrement, l'utilisation d'une commande d'écriture conforme au protocole UDS de services unifiés de diagnostic, présente les avantages ci-dessus mentionnés. Dans ce cas particulier, le champ 53 contient alors le SID $2E qui est le code hexadécimal connu d'une écriture de données par identificateur DfD. Le champ 54 contient l'identificateur DID de la zone 67, 68 de données du calculateur 12 qui était indiquée dans le champ 35 de la trame 21. Par exemple, dans le cas de l'utilisation du protocole UDS, l'accusé de bonne exécution de la commande auxiliaire d'écriture est matérialisé par une trame 22 dont un premier champ 37 contient le code SID de valeur $6E, et dont un deuxième champ 38 contient la valeur du champ 32 de la trame 21 pour permettre au calculateur 10 de reconnaître la commande d'écriture émise à laquelle correspond l'accusé de réception reçu. En d'autres termes, le champ 38 constitue un champ d'identifiant de la première zone dédiée 61. [0087] On notera que la cinquième commande auxiliaire d'écriture constitue une commande auxiliaire d'écriture de valeurs de la structure de données. [0088] Dans une première variante de mise en oeuvre du procédé pour laquelle le calculateur 12 dispose de suffisamment de ressources de calcul pour traiter la conformité de la signature courante aux valeurs de la structure de donnée à écrire, le calculateur 11 place en étape 318, directement dans le champ 54 l'identificateur DID de la zone de données sécurisée, destinée à contenir la structure de données, de manière à émettre directement la cinquième commande auxiliaire à destination du calculateur 12. [0089] Dans une deuxième variante de mise en oeuvre du procédé pour laquelle les cal- culateurs destinataires 12, 13, 14 ne disposent pas de suffisamment de ressources de calcul pour traiter la conformité de la signature courante aux valeurs de la structure de donnée à écrire, le calculateur 11 n'émet pas la cinquième commande auxiliaire d'écriture mais active une étape 320 à la suite de l'étape 318. [0090] Une réception par le calculateur 10 du signal périodique positionné à l'état occupé, ou de la trame 22, valide une transition 113 qui fait passer le procédé de l'étape 112 à une étape 114 dans le calculateur 10. Dans l'étape 114, le calculateur 10 se met en attente du signal positionné à l'état prêt. [0091] Ainsi, les étapes exécutées à la suite de la transition 109 jusqu'aux étapes 320 et 114, réalisent une phase de passage à la phase d'écriture sécurisée en soi des valeurs, contrôlée par une exécution positive des deux phases précédentes. [0092] Les étapes relatives à la phase d'écriture sécurisée en soi qui sont décrites à présent en référence à la figure 6, correspondent à la deuxième variante de mise en oeuvre de l'invention, particulièrement avantageuse pour le calculateur 12 ne disposant pas de ressources de calcul suffisante pour traiter une conformité de signature. 16 [0093] [fig.6] montre des étapes de procédé à la suite des étapes représentées en figure 5. [0094] En étape 320, le calculateur 11 vérifie si la signature courante et les valeurs de la structure de données reçues dans la requête d'écriture, concordent l'une avec l'autre. Une amélioration du procédé peut consister à vérifier de plus que la signature courante concorde aussi avec un numéro VIN d'identification du véhicule, pour les mises en oeuvre dans lesquelles il est reçu dans la requête d'écriture sécurisée, la signature porte alors aussi sur le numéro VIN d'identification du véhicule dans lequel le calculateur 12 est embarqué. [0095] Une absence de concordance relative à la signature, valide une transition 321 qui active une étape 326 dans laquelle le calculateur 11 construit unc réponse négative à la deuxième commande principale d'écriture. En étape 326, le calculateur 11 peut envoyer un signal au calculateur 12 pour le faire repasser directement en étape initiale 200. [0096] Une concordance relative à la signature, valide une transition 323 qui active une étape 324 dans laquelle le calculateur 11 émet effectivement la cinquième commande auxiliaire d'écriture à destination du calculateur 12. [0097] Une réception de la cinquième commande auxiliaire d'écriture dans le calculateur 12, valide une transition 217 qui active unc étape 218 consistant à vérifier si r identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, est répertorié dans le calculateur 12. [0098] Une transition 219 est validée si l'identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, n'est pas répertorié dans le calculateur 12. [0099] Une validation de la transition 219 active une étape 220 dans laquelle le calculateur 12 émet un non acquittement d'écriture à destination du calculateur 11. [0100] Une transition 221 est validée si l'identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, est répertorié dans le calculateur 12. [0101] Une validation de la transition 221 active une étape 222 consistant à vérifier si l'identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, est répertorié dans une liste de zones de données sécurisées du calculateur 12. [0102] Une transition 223 est validée si l'identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, n'est pas répertorié dans la liste de zones de données sécurisées du calculateur 12. [0103] Une validation de la transition 223 active une étape 224 dans laquelle le calculateur 12 positionne la machine d'états à l'état initial 0x00. [0104] Une étape 236, activée à la suite de l'étape 224, consiste à écrire le contenu de la cinquième commande auxiliaire d'écriture dans la zone de données du calculateur 12, 17 identifiée en tête de la cinquième commande auxiliaire d'écriture par l'identificateur . L'étape 236 dans ce cas, est particulièrement utile pour le cas où une commande d'écriture non sécurisée, par exemple en provenance d'un procédé autre que celui de l'invention, se serait introduite de manière fortuite entre la première et la deuxième commande principale d'écriture. [0105] Une transition 225 est validée si l'identificateur de structure de données, reçu avec la cinquième commande auxiliaire d'écriture, est répertorié dans la liste de zones de données sécurisées du calculateur 12. [0106] Une validation de la transition 225 active une étape 226 consistant à vérifier si l'état de la machine à nombre fini d'états, est sur l'état OxOF de réponse positive à la première commande principale d'écriture. [0107] Une transition 227 est validée si la machine à nombre fini d'états, n'est pas sur l'état OxOF de réponse positive à la première commande principale d'écriture. [0108] Une validation de la transition 227 active l'étape 220 dans laquelle le calculateur 12 émet un non acquittement d'écriture à destination du calculateur 11. [0109] Une transition 229 est validée si la machine à nombre fini d'états, est sur l'état OxOF de réponse positive à la première commande principale d'écriture. [0110] Une validation de la transition 229 active une étape 230 optionnelle consistant à vérifier si la valeur d'anti-récxécution, reçue avec la cinquième commande auxiliaire d'écriture, est supérieure à une valeur d'anti-récxécution précédemment reçue par le calculateur 12. [0111] Une transition 231 est validée si la valeur d'anti-réexécution, reçue avec la cinquième commande auxiliaire d'écriture, n'est pas supérieure à la valeur d'anti-réexécution précédemment reçue par le calculateur 12. [0112] Une validation de la transition 231 active l'étape 220 ci-dessus exposée. [0113] Une transition 233 est validée si la valeur d'anti-réexécution, reçue avec la cinquième commande auxiliaire d'écriture, est supérieure à la valeur d'anti-réexécution précédemment reçue par le calculateur 12. [0114] Une validation de la transition 233 active une étape 234 dans laquelle le calculateur 12 recopie dans la zone 63 dédiée à la mémorisation permanente de la signature courante, la valeur contenue dans la zone 64 dédiée à la mémorisation provisoire de la signature courante. Cette recopie a pour effet technique de pouvoir utiliser la signature courante des valeurs de la structure de données reçues avec la cinquième commande auxiliaire d'écriture, comme signature antérieurement valablement reçue lors d'une écriture sécurisée ultérieure. [0115] Activée à la suite de l'étape 234, l'étape 236 permet alors d'écrire les valeurs de la structure de données, telles que transmises par la cinquième commande auxiliaire d'écriture, dans celle des zones 67, 68 sécurisées du calculateur 12, qui est identifiée 18 en tête de la cinquième commande auxiliaire d'écriture par l' identificateur . En fin d'étape 236, le calculateur 12 envoie au calculateur 11, un acquittement positif de l'écriture des valeurs dans la zone attribuée à la structure de donnée. [0116] Le retour à l'étape initiale 200 marque la fin des étapes exécutées dans le calculateur 12 pour y réaliser l'écriture sécurisée. [0117] Une réception de non acquittement d'écriture par le calculateur 11, valide une transition 325 qui active l'étape 326 expliquée ci-dessus. [0118] Une réception d'acquittement positif d'écriture par le calculateur 11, valide une transition 327 qui active une étape 328 dans laquelle le calculateur 11 construit une réponse positive à la deuxième commande principale d'écriture. En étape 328, le calculateur 11 recopie la signature courante dans sa table associative des signatures valablement reçues, en association avec le calculateur 12. On considère qu'une signature est valablement reçue lorsqu'elle correspond à des valeurs de structure de données qui ont été effectivement écrites dans leur zone de destination. Si la valeur de confiance partagée est attribuée à une autre donnée que la signature courante, c'est en étapes 236 et 328 que la nouvelle valeur de confiance partagée est mémorisée dans chacune des zones mémoire qui conviennent. [0119] A la suite des étapes 326 et 328, une étape 330 consiste à mettre à zéro (en d'autres termes à effacer) l'adresse provisoire de signature, par exemple FOA6. En étape 330, le calculateur 11 positionne le signal périodique à l'état prêt. [0120] Une réception du signal périodique à l'état prêt dans le calculateur 10, valide une transition 115 qui active une étape 116 dans laquelle le calculateur 10 émet une commande de lecture de la réponse contenue en zone 62 du calculateur 11, d'identificateur par exemple FOA4. [0121] Une réception de la commande de lecture par le calculateur 11, valide une transition 331 qui active une étape 332 clans laquelle le calculateur 11 envoie le contenu de la zone 62 au calculateur 10 en réponse à la commande de lecture, avant de retourner en étape initiale 300. [0122] Une réception de la réponse à la commande de lecture par le calculateur 10, valide une transition 117 qui active une étape 118 dans laquelle le calculateur 10 élabore un compte-rendu négatif ou positif d'écriture sécurisée en fonction de la réponse qu'il a reçue du calculateur 11. [0123] Le procédé de l'invention n'est pas limité à l'exemple de mise en oeuvre exposé ci- dessus. [0124] Par exemple si le deuxième calculateur 9 dispose de suffisamment de ressources pour exécuter l'étape 320, il peut recevoir directement les deux commandes principales d'écriture du premier calculateur 10 sans passer par le troisième calculateur 11. Le calculateur 9 peut alors directement vérifier la recevabilité de la signature en fonction de 19 critères qui lui sont propres. [0125] Pour un deuxième calculateur 12 ne disposant que de peu de ressources, nous avons vu ci-dessus un exemple de partage de valeur de confiance avec le troisième calculateur 11 auquel sont délégués les traitements cryptographiques de signatures. Dans l'exemple illustré ci-dessus, l'étape 302 permet au troisième calculateur 11 d'envoyer une commande auxiliaire d'écriture de la valeur de confiance au deuxième calculateur 12 pour lui permettre de tester s'il partage la même valeur de confiance en étape 202. Le calculateur 12 peut alors envoyer en étape 206 un résultat de test positif dans l'accusé de réception à la commande d'écriture qu'il a reçue. [Revendication 1] [Revendication 2] [Revendication 3] [Revendication 4] REVENDICATIONSProcédé d'écriture de valeurs d'une structure de données à partir d'un premier calculateur (10) embarqué dans un véhicule, dans une première zone (67, 68) sécurisée de données d'un deuxième calculateur (9, 12, 13, 14) embarqué dans le véhicule, comprenant des étapes consistant à : - émettre (104) une commande principale d'écriture d'une signature courante contenue dans une requête d'écriture des valeurs de ladite structure de données, reçue (101) par le premier calculateur (10) en provenance d'un serveur distant, ladite requête d'écriture comprenant par ailleurs un identificateur du deuxième calculateur, un identificateur (DID) de ladite zone sécurisée de données, les valeurs de la structure de données à écrire ; - vérifier (202, 208, 212) que la signature courante est recevable indépendamment des valeurs de la structure de données à écrire ; - émettre (112) une commande principale d'écriture des valeurs de ladite structure de données si la signature courante porte sur les valeurs de la structure de données à écrire ; - vérifier (320) que la signature courante porte sur les valeurs de la structure de données à écrire lorsque la signature courante est recevable ; - écrire (236) les valeurs de la structure de données, dans celle des zones (67, 68) sécurisées du deuxième calculateur (9, 12, 13, 14) si la signature courante porte sur les valeurs de la structure de données à écrire. Procédé selon la revendication 1, caractérisé en ce qu'il comprend une étape (202) consistant à vérifier que la signature courante est recevable à condition au moins que le deuxième calculateur (9, 12, 13, 14) partage une même valeur de confiance avec un troisième calculateur (11). Procédé selon la revendication 2, caractérisé en ce que la valeur de confiance est la valeur d'une signature antérieure, liée à une précédente requête d'écriture reçue. Procédé selon l'une des revendications 2 ou 3, caractérisé en ce qu'il comprend (les étapes consistant à : - émettre (104) la commande principale d'écriture de signature courante, en envoyant. à partir du premier calculateur (10), une commande auxiliaire d'écriture d'un descriptif de ladite commande principale d'écriture de sienature courante à destination du troisième calculateur 21 (11) ; - envoyer (302) à partir du troisième calculateur (11), une commande auxiliaire d'écriture de la valeur de confiance à destination du deuxième calculateur (9, 12, 13, 14) ; - vérifier (202) dans le deuxième calculateur (9, 12, 13, 14) que la signature courante est recevable. [Revendication 5] Procédé selon la revendication 4, caractérisé en ce qu'il comprend des étapes consistant à : - envoyer (306) à partir du troisième calculateur (11), une commande auxiliaire d'écriture de la valeur de signature courante à destination du deuxième calculateur (9, 12, 13, 14) ; - vérifier (212) dans le deuxième calculateur (9, 12, 13, 14) que la signature courante est recevable à condition que de plus, la valeur de confiance soit différente de la valeur de signature courante. [Revendication 6] Procédé selon l'une des revendications 2 à 5, caractérisé en ce qu'il comprend des étapes consistant à : - émettre (112) la commande principale d'écriture des valeurs de ladite structure de données, en envoyant à partir du calculateur (10), une commande auxiliaire d'écriture d'un descriptif de ladite commande principale d'écriture des valeurs de ladite structure de données à destination du troisième calculateur (11) ; - vérifier (202) dans le troisième calculateur (11) que la signature courante porte sur les valeurs de la structure de données à écrire. [Revendication 7] Procédé selon l'une des revendications 1 à 6, caractérisé en ce que la signature porte de plus sur un identificateur (VIN) du véhicule. [Revendication 8] Procédé selon la revendication 6, caractérisé en ce qu'il comprend une étape consistant à : - envoyer (324) à partir du troisième calculateur (11), une commande auxiliaire d'écriture des valeurs de ladite structure de données de manière à les valeurs de la structure de données, dans celle des zones (67, 68) sécurisées du deuxième calculateur (9, 12, 13, 14) si la signature courante porte sur les valeurs de la structure de données à écrire. [Revendication 9] Procédé selon la revendication 8, caractérisé en ce que ladite structure de donnée comprend une valeur d'anti-réexécution, et en ce qu'il comprend une étape consistant à - vérifier (230) que la valeur d'anti-réexécution, reçue avec la commande auxiliaire d'écriture des valeurs de la structure de données, [Revendication 10] est supérieure à une valeur d'anti-récxécution précédemment reçue par le deuxième calculateur (9, 12, 13, 14). [Revendication 11] Procédé selon la revendication 9, caractérisé en ce que la valeur d'anti-récxécution est un nombre entier qui code une date exprimée en année, mois, jour, heure, minute, seconde. Procédé selon l'une des revendications précédentes, caractérisé en ce que le deuxième calculateur (9, 12, 13, 14) comporte une machine à nombre fini d'états.