Brevet FR3092679A1 — publié le 20200814

Description Titre de l'invention : Elément électronique, système comprenant un tel élément électronique et procédé de surveillance d'un processeur [0001] La présente invention concerne de manière générale le domaine de la sécurité d'une unité électronique, par exemple d'un processeur. [0002] Elle concerne plus particulièrement un élément électronique, un système comprenant un tel élément électronique et un procédé de surveillance d'un processeur. [0003] Des composants électroniques tels que les chiens de garde (ou « watchclog » selon l'appellation (l'origine anglo-saxonne couramment utilisée) permettent de s'assurer qu'un processeur ne reste pas bloqué à une étape particulière de l'algorithme qu'il implémente. Si le chien de garde ne reçoit pas de signal de vie, il envoie un signal afin de redémarrer le processeur. [0004] Cependant, ces composants électroniques ne sont pas adaptés pour s'assurer dc la sécurité de fonctionnement du processeur. En particulier, ils ne permettent pas de vérifier que le logiciel exécuté par le processeur n'a pas été corrompu. [0005] Afin de remédier à l'inconvénient précité de l'état de la technique, la présente invention propose un élément électronique permettant de s'assurer dc la sécurité d'un processeur. [0006] Plus particulièrement, on propose selon l'invention un élément électronique comprenant : [0007] - un module de mémorisation dc données de référence, [0008] - un module de réception dc données en provenance d'un processeur, [0009] - un module de vérification des données reçues par comparaison au moyen des données de référence, et [0010] - un module d'émission d'une consigne de coupure d'alimentation du processeur. [0011] Ainsi, l'élément électronique est conçu pour vérifier les données utilisées par le processeur, notamment en les comparant à des données de référence. En cas d'incident détecté lors de cette vérification, signifiant par exemple une suspicion de corruption des données que le processeur utilise, l'élément électronique émet une consigne dc coupure d'alimentation du processeur, forçant alors le processeur à s'interrompre. Le système, désormais mis hors-service, ne pourra alors être remis en service qu'avec l'intervention d'un opérateur extérieur. [0012] D'autres caractéristiques non limitatives et avantageuses de l'élément électronique conforme à l'invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : [0013] - la consigne de coupure d'alimentation est émise après survenance d'un événement 2 d'échec, [0014] - l'événement d'échec est une absence de réception de données ou un échec de véri- fication desdites données, [0015] - l'événement d'échec est une absence de réception de données dans un intervalle de temps prédéterminé, [0016] - l'événement d'échec est un échec de vérification desdites données reçues dans un intervalle de temps prédéterminé, après réception complète desdites données, [0017] - il est également prévu un module d'émission d'une consigne de redémarrage du processeur en cas de survenance d'un événement d'échec, [0018] - la consigne de coupure d'alimentation du processeur est émise lorsqu'un nombre de consignes de redémarrage du processeur a atteint un seuil déterminé, [0019] - il est également prévu un module d'émission d'une notification en cas de survenance d'un événement d'échec, et [0020] - le module de vérification des données reçues est conçu pour déterminer une empreinte des données et comparer l'empreinte des données aux données de référence. [0021] L'invention propose également un système comprenant un élément électronique tel que défini précédemment et le processeur. Le système peut comprendre également un circuit de gestion d'alimentation du processeur conçu pour recevoir la consigne de coupure d'alimentation du processeur. Le système peut comprendre une mémoire et le processeur peut comprendre une unité de lecture desdites données dans ladite mémoire. [0022] L'invention propose également un procédé de surveillance d'un processeur par un élément électronique comprenant un module de mémorisation de données de référence, le procédé comprenant des étapes de : [0023] - réception de données en provenance du processeur, [0024] - vérification des données reçues par comparaison au moyen des données de référence, et [0025] - émission d'une consigne de coupure d'alimentation du processeur. [0026] D'autres caractéristiques non limitatives et avantageuses du procédé de surveillance conforme à l'invention, prises individuellement ou selon toutes les combinaisons techniquement possibles, sont les suivantes : [0027] - la consigne de coupure d'alimentation est émise après survenance d'un événement d'échec, [0028] - il est également prévu une étape d'émission d'une consigne de redémarrage du processeur en cas de survenance d'un événement d'échec, [0029] - l'événement d'échec correspond, après réception complète des données en provenance du processeur, à un échec de vérification des données du fait que lesdites données reçues sont différentes desdites données de référence, [0030] - l'événement d'échec correspond à une absence de réception de données dans un in- 3 tervallc de temps prédéterminé, [0031] - une mémoire étant associée au processeur, il est également prévu une étape préalable de lecture, dans ladite mémoire et par le processeur, desdites données reçues, [0032] - il est également prévu une étape de tirage d'une valeur aléatoire par l'élément élec- tronique, l'étape de lecture étant réalisée par lecture d'une partie de ladite mémoire désignée par la valeur aléatoire, [0033] - il est également prévu une étape de mise à jour des données de référence de l'élément électronique, par de nouvelles données, [0034] - l'étape de mise à jour est effectuée après vérification d'une signature électronique desdites nouvelles données de référence, [0035] - il est également prévu une étape de mise à jour de ladite mémoire, et [0036] - l'étape de mise à jour des données de référence est déclenchée en cas de survenance d'un événement de succès de l'étape de mise à jour de ladite mémoire. [0037] La description qui va suivre en regard des dessins annexés, donnés à titre d'exemples non limitatifs, fera bien comprendre en quoi consiste l'invention ct comment elle peut être réalisée. [0038] Sur les dessins annexés : [0039] [fig.1] représente un système conforme à l'invention, [0040] [fig.2] représente certains composants du système conforme à l'invention, [0041] [fig.3] représente, sous forme de logigramme, un exemple de procédé mis en oeuvre dans le système conformément à l'invention, et [0042] [fig.4] représente, sous forme de logigramme, un autre exemple de procédé mis en oeuvre dans le système conformément à l'invention. [0043] La figure 1 représente un système 1 permettant la surveillance d'une entité élec- tronique (telle que le processeur 3 décrit ci-dessous). Ce système 1 intègre en pratique un composant électronique (tel que l'élément électronique 5 décrit ci-dessous) permettant de garantir la sécurité de l'entité électronique, par exemple de son système d'exploitation. [0044] En pratique ici, le système 1 est conçu pour assurer la surveillance d'un processeur 3, et en particulier pour vérifier que celui-ci n'a pas été corrompu. Par exemple, le système 1 est adapté pour vérifier que le système d'exploitation du processeur 3 n'a pas été modifié. [0045] Le système 1 est par exemple conçu pour équiper un véhicule automobile. En pratique, le système 1 est par exemple un système embarqué tel qu'une caméra. [0046] Comme visible sur la figure 1, le système 1 comprend le processeur 3, un élément électronique 5, une mémoire 13 et un circuit de gestion d'alimentation 7. Ces différents circuits sont par exemple reliés les uns aux autres comme décrit ci-dessous en référence à la figure 2. Le système 1 forme par exemple en pratique une unité électronique de commande (ou ECU pour "Electronic Control Unit") embarquée dans le véhicule. Par ailleurs, la mémoire 13 est ici formée par un circuit distinct du processeur 3, comme représenté en figure 1. En variante, la mémoire 13 pourrait toutefois être incluse (en pratique intégrée) dans le processeur 3. [0047] L'élément électronique 5 est par exemple un microcircuit, tel qu'un élément sécurisé (ou SE pour "Secure Renient"), éventuellement intégré (ou eSE pour "Etnbedded Secure Element"). L'élément électronique 5 peut ainsi répondre à un certain niveau de certification (tel que EAL4+ ou EMS). [0048] En pratique, le système 1 comporte un ensemble de modules (tous ne sont pas re- présentés sur la figure 1). Ces modules peuvent en pratique être réalisés par une combinaison d'éléments matériels et d'éléments logiciels. Chaque module possède une fonctionnalité décrite dans le procédé conforme à l'invention et exposé ci-après. Ainsi, pour chaque module, le système 1 mémorise (au sein d'une mémoire associée respectivement au processeur 3 ou à l'élément électronique 5) par exemple des instructions de logiciel exécutables par le processeur 3 ou l'élément électronique 5 du système 1 afin de mettre ainsi en oeuvre la fonctionnalité offerte par le module. [0049] Le processeur 3, en pratique par exemple un microcontrôleur, comprend une unité de lecture de données 14 lui permettant d'accéder à la mémoire 13. L'unité de lecture de données 14 est ici fonctionnelle, par exemple mise en oeuvre du fait de l'exécution d'instructions dédiées par le processeur 3. [0050] Le processeur 3 mémorise des données par exemple ici liées au système d'exploitation du système. Ces données sont stockées dans la mémoire 13 associée au processeur 3. Cette mémoire 13 est divisée en une pluralité de parties. Chaque partie contient alors une partie de la totalité des données. Chacune des parties de la mémoire 13 est ici repérée par une valeur. Le processeur 3 associe donc une partie des données à une valeur. Le processeur 3 est par exemple relié au bus de communication du véhicule automobile (ou « Controller Area Network » selon l'appellation d'origine anglo-saxonne). [0051] L'unité de lecture de données 14 est conçue pour permettre la lecture des données mémorisées dans la mémoire 13 associée au processeur 3. [0052] L'alimentation du processeur 3 est assurée et commandée par le circuit de gestion d'alimentation 7. En d'autres termes, le circuit de gestion d'alimentation 7 contrôle la mise sous tension, le redémarrage et la mise hors tension du processeur 3 ainsi que de l'élément électronique 5 (et donc du système 1). [0053] Comme représenté sur la figure 1, le système 1 comprend également l'élément élec- tronique 5. L'élément électronique 5 comprend un module de mémorisation 15, un module de réception des données 16, un module de vérification des données 17, au moins un module d'émission de consignes 18a, 18b, 18e et un module de mesure du temps 19. [0054] Ici, l'élément électronique 5 comprend trois modules d'émission de consignes : un module d'émission d'une notification d'attente 18a, un module d'émission d'une consigne de redémarrage 18h du processeur 3 et un module d'émission d'une consigne de coupure 18c d'alimentation du processeur 3. Les trois modules d'émission de notification ou de consigne sont ici fonctionnels, par exemple mis en oeuvre par un microprocesseur programmé notamment à cet effet. Les modules d'émission de consignes 18a, 18h, 18e sont reliés au circuit de gestion d'alimentation 7 et transmettent les notifications ou consignes émises à ce circuit de gestion d'alimentation 7 (qui agit ensuite sur le processeur 3 en fonction de la notification ou consigne reçue). [0055] Le module de mémorisation 15 est adapté à mémoriser des données, et en particulier des données de référence utilisées lors de la mise en oeuvre du procédé décrit ci-après. [0056] L'élément électronique 5 est relié au processeur 3 (comme visible sur la figure 2 et décrit ci-après), cc qui permet au module de réception des données 16 (qui est ici fonctionnel) de recevoir les données transmises par le processeur 3 et au module de vérification des données 17 de vérifier les données transmises du processeur 3 vers l'élément électronique 5. En pratique, le module de vérification des données 17 est conçu pour déterminer une empreinte des données reçues par l'élément électronique 5 et pour comparer cette empreinte des données aux données de référence. L'empreinte des données reçues est par exemple obtenue par application d'une fonction de hachage (ici de type SHA256) à ces données. [0057] L'élément électronique 5 comprend également au moins un module de mesure du temps 19. Ce module de mesure du temps 19, qui est également fonctionnel, est conçu pour mesurer le temps d'exécution de différentes étapes du procédé décrit ci-dessous par l'intermédiaire par exemple d'un microprocesseur programmé à cet effet. En pratique, ce module de mesure du temps 19 compare un temps d'exécution mesuré à au moins un intervalle de temps prédéterminé alloué pour l'exécution de l'étape concernée. [0058] En pratique, l'élément électronique 5 comprend une pluralité de broches, permettant par exemple la connexion de l'élément électronique 5 et d'autres composants du système 1. Dans l'exemple représenté sur la figure 2, l'élément électronique 5 comprend neuf broches. Les broches 101, 102, 103, 104, 105, 106, 107, 108 permettent ici le branchement au processeur 3 et au circuit de gestion d'alimentation 7. La broche 110 permet la liaison de l'élément électronique 5 à la masse. 6 [0059] Les deux broches 101, 102 sont conçues pour permettre une communication avec le circuit de gestion d'alimentation 7. En pratique, ces deux broches 101, 102 permettent l'implémentation de trois mécanismes : un mécanisme de notification, un mécanisme de redémarrage et un mécanisme de coupure d'alimentation. Ces trois mécanismes sont par exemple ici déclenchés en réutilisant les entrées/sorties classiquement désignées SWP et I/O. Chacun des trois mécanismes précités est ainsi par exemple déclenché par une valeur spécifique des deux bits représentés par les niveaux électriques présents sur les broches 101, 102 (la quatrième valeur possible correspondant à un état de repos sans déclenchement de mécanisme). [0060] La broche 103 est conçue pour permettre la transmission d'une tension d'alimentation du circuit de gestion d'alimentation 7 vers l'élément électronique 5. [0061] La broche 104 est une broche de redémarrage de l'élément électronique 5. [0062] Les quatre broches 105, 106, 107, 108 sont conçues pour permettre une commu- nication avec le processeur 3. Ces quatre broches 105, 106, 107, 108 permettent notamment l'échange de données avec le processeur 3. Les quatre broches 105, 106, 107, 108 permettent ici une liaison SPI (pour « Serial In Peripheral Interface » selon l'acronyme d'origine anglo-saxonne couramment utilisé). [0063] La figure 3 représente un exemple de procédé mis en oeuvre dans le système 1 conformément à l'invention. [0064] Ce procédé constitue un procédé de surveillance du processeur 3 par l'élément élec- tronique 5 afin de s'assurer que le processeur 3 et les données qu'il comprend n'ont pas été corrompues. [0065] Préalablement à la mise en oeuvre du procédé, on suppose que le système 1 est en fonctionnement et donc que les modules qu'il comprend sont utilisés. Par exemple, si le système 1 est installé dans un véhicule automobile, on peut supposer que le véhicule automobile est en cours d'utilisation (les vérifications décrites ci-dessous étant par exemple effectuées au démarrage du véhicule). [0066] Comme représenté sur la figure 3, le procédé débute à l'étape E2. Lors de cette étape, l'élément électronique 5 tire une valeur aléatoire. Cette valeur aléatoire permet de déterminer la partie de la mémoire 13 qui va être vérifiée lors du procédé comme décrit ci-dessous. [0067] A l'étape E4, l'élément électronique 5 transmet au processeur 3 la valeur aléatoire tirée (et donc l'information sur la partie de la mémoire 13 qui va être concernée par l'exécution du procédé). Pour ce faire, dans l'exemple décrit ici, l'élément électronique 5 déclenche le mécanisme de notification mentionné plus haut (en appliquant sur les broches 101, 102 des niveaux électriques indicatifs du mécanisme de notification). Du fait du mécanisme de notification, le circuit de gestion d'alimentation 7 émet un signal d'interruption SPI INT à destination du processeur 3 afin que le processeur 3 reçoive la 7 valeur aléatoire via la liaison formée ici par les quatre broches 105, 106, 107, 108. [0068] Le processeur 3 identifie alors la partie de la mémoire concernée et lit les données de cette partie de la mémoire 13 à l'étape E6 au moyen de l'unité de lecture des données 14. [0069] En pratique, pour certaines exécutions des étapes E2, E4 et E6, l'étape de sélection aléatoire des données à vérifier peut être omise. On prévoit en effet dans ce cas que les données mémorisées dans certaines parties de la mémoire 13 associée au processeur 3 soient entièrement vérifiées. C'est par exemple le cas pour des parties de mémoire mises en jeu lors du démarrage du système 1. La vérification aléatoire (telle qu'elle résulte des étapes E2 et E4 décrites ci-dessus) est par exemple mise en oeuvre pour des données mémorisées dans des parties de mémoire applicatives pour le système 1. [0070] Le procédé se poursuit ensuite à l'étape ES. Lors de cette étape, le processeur 3 envoie à l'élément électronique 5 (via la liaison SPI susmentionnée) les données contenues dans la partie de la mémoire 13 associée à la valeur aléatoire. [0071] Comme visible sur la figure 3, le procédé se poursuit à l'étape El O. Lors de cette étape, l'élément électronique 5 détecte si un premier événement d'échec se produit. Cc premier événement d'échec concerne ici par exemple l'absence de réception des données par l'élément électronique 5 pendant un intervalle de temps prédéterminé. Le module de mesure du temps est par exemple déclenché lors de la mise sous tension du processeur 3 et le temps mesuré (ici entre la mise sous tension du processeur 3 et la réception des données par l'élément électronique 5) doit être compris dans l'intervalle de temps prédéterminé. En variante, le premier événement d'échec peut également correspondre à une réception partielle des données par l'élément électronique 5 dans l'intervalle de temps prédéterminé. [0072] Si l'élément électronique 5 détecte ce premier événement d'échec (dans l'exemple décrit ici lors de la vérification d'une partie de la mémoire 13 utilisée pour le démarrage du processeur 3), le procédé se poursuit à l'étape E16 décrite plus bas. [0073] En variante (par exemple ici lors de la vérification d'une partie de la mémoire 13 liée à des applications exécutables par le processeur 3), comme représenté en pointillés sur la figure 3, à détection d'une absence de réception de l'ensemble des données (relatives à cette partie de mémoire 13) par l'élément électronique 5 à échéance d'un intervalle de temps prédéterminée (étape E10), le procédé se poursuit à l'étape E14 pendant laquelle une notification d'attente est adressée au processeur 3. [0074] Le processeur 3 est ainsi informé de l'absence de réception par l'élément élec- tronique 5 des données à vérifier et le processeur 3 peut adapter son fonctionnement en conséquence. [0075] Dans l'exemple décrit ici, l'étape El4 est mise en oeuvre par déclenchement (par l'élément électronique 5) du mécanisme de notification mentionné plus haut (l'élément 8 électronique 5 appliquant sur les broches 101, 102 des niveaux électriques indicatifs du mécanisme de notification). Du fait du mécanisme de notification, le circuit de gestion d'alimentation 7 émet un signal d'interruption SPI INT à destination du processeur 3 afin que le processeur 3 lise la notification d'attente (émise au cours de cette étape E14) via la liaison (ici de type SPI) formée dans le présent exemple par les quatre broches 105, 106, 107, 108. [0076] Après cette étape E14, le procédé reprend à l'étape E2 décrite plus haut avec le tirage aléatoire d'une nouvelle valeur afin de tenter à nouveau de vérifier les données mémorisées dans le processeur 3. [0077] A l'étape El 6 (atteinte lorsqu'un premier événement d'échec est détecté dans le cas décrit plus haut), l'élément électronique 5 évalue le nombre n de consignes de redémarrage du processeur 3 qui ont été émises lors de la vérification des données de la partie de mémoire concernée. En particulier, l'élément électronique 5 compare le nombre n évalué à un nombre seuil k de redémarrage acceptable lors de la vérification des données de la partie de mémoire concernée. En d'autres ternies, à l'étape El 6, l'élément électronique 5 compare n et k. [0078] Comme représenté sur la figure 3, si le nombre n de consignes de redémarrage du processeur 3 est inférieur (ou égal) au nombre seuil k de redémarrage, une consigne de redémarrage du processeur 3 est émise par l'élément électronique 5 à destination du circuit de gestion d'alimentation 7 à l'étape El 8. L'ensemble des éléments du système 1 et donc en particulier le processeur 3 et l'élément électronique 5 sont redémarrés (par le circuit de gestion d'alimentation 7 qui commande le redémarrage, en pratique en appliquant un niveau approprié sur les bornes de redémarrage du processeur 3 et de l'élément électronique 5). [0079] Dans l'exemple décrit ici, l'élément électronique 5 déclenche le mécanisme de re- démarrage mentionné plus haut en appliquant sur les broches 101, 102 des niveaux électriques indicatifs du mécanisme de redémarrage (ces niveaux électriques représentant dans ce cas la consigne de redémarrage). Le circuit de gestion d'alimentation 7 est conçu pour émettre alors une commande de redémarrage RST, laquelle est appliquée sur la borne de redémarrage 104 de l'élément électronique 5 et sur une borne de redémarrage du processeur 3. [0080] Après le redémarrage de l'ensemble des éléments du système 1 et éventuellement la mise en oeuvre d'étapes sans lien avec l'invention décrite ici, le procédé reprend à l'étape E2. [0081] Si le nombre n de consignes de redémarrage du processeur 3 est supérieur au nombre seuil k de redémarrage à l'étape E16, cela signifie que malgré plusieurs redémarrages, la vérification des données ne peut pas être menée à bien et le processeur est probablement corrompu. Afin de ne pas poursuivre un fonctionnement du système 1 alors 9 que le processeur 3 semble corrompu, l'élément électronique 5 génère, à destination du circuit de gestion d'alimentation 7, une consigne de coupure d'alimentation du système 1 à l'étape E20. [0082] Dans l'exemple décrit ici, l'élément électronique 5 déclenche le mécanisme de coupure d'alimentation mentionné plus haut en appliquant sur les broches 101, 102 des niveaux électriques indicatifs du mécanisme de coupure d'alimentation (ces niveaux électriques représentant dans ce cas la consigne de coupure d'alimentation). [0083] Le circuit de gestion d'alimentation 7 coupe alors l'alimentation du processeur (et de l'élément électronique 5) à l'étape E22, mettant hors tension le processeur 3 (ainsi que l'élément électronique 5 et donc le système 1), bloquant ainsi son utilisation puisqu'il est probablement corrompu. Le blocage sera persistant même en cas de remise sous tension du système, c'est-à-dire que l'élément électronique 5, mémorisant de façon persistante qu'il est en mode coupure d'alimentation, rcbloquera le processeur 3 aussitôt après la prochaine remise sous tension. Le système 1 ne pourra alors être remis en service qu'après une opération de maintenance assurée par un opérateur extérieur. [0084] Si au contraire à l'étape El 0 aucun événement d'échec n'a été détecté, cela signifie que les données ont entièrement été transmises du processeur 3 à l'élément électronique 5, et que l'élément électronique 5 les a bien réceptionnées. Le procédé se poursuit alors à l'étape E30. Lors de cette étape, l'élément électronique 5 vérifie les données reçues. En pratique, le module de vérification de l'élément électronique 5 détermine une empreinte des données reçues et compare cette empreinte des données reçues aux données de référence mémorisées dans le module de mémorisation 15. L'empreinte des données est pal- exemple déterminée par application d'une fonction de hachage, par exemple du type SHA256. [0085] A l'étape E32, l'élément électronique 5 détecte si un deuxième événement d'échec se produit. Ce deuxième événement d'échec concerne ici pal- exemple l'échec lors de la vérification des données reçues pendant un autre intervalle de temps prédéterminé. Le module de mesure du temps mesure ici un temps d'exécution depuis la mise sous tension du processeur 3 et compare ce temps d'exécution à l'autre intervalle de temps prédéterminé. Par exemple, dans le cas du deuxième événement d'échec, les données reçues sont différentes des données de référence mémorisées. En variante, le deuxième événement d'échec peut correspondre à une vérification partielle des données reçues dans l'autre intervalle de temps prédéterminé. [0086] En cas de détection du deuxième événement d'échec à l'étape E32, le procédé se poursuit à l'étape E16 décrite plus haut. [0087] En l'absence de détection du deuxième événement d'échec à l'étape E32 (c'est-à-dire si les données reçues du processeur 3 sont correctement vérifiées pal- la comparaison mentionnée ci-dessus dans l'autre intervalle de temps prédéterminé), cela signifie que la vérification des données a été un succès. Le procédé reprend alors à l'étape E2 avec la vérification d'une nouvelle partie de la mémoire 13 associée au processeur 3 (éventuellement après la mise en oeuvre d'autres étapes sans lien avec l'invention décrite ici). En d'autres termes, une boucle de vérification des données associées au processeur 3 est donc mise en place. [0088] En pratique, le processeur 3 est susceptible de recevoir de nouvelles données provenant d'un composant extérieur au système 1. Il s'agit par exemple de données permettant de mettre à jour les données mémorisées dans la mémoire 13, par exemple d'une actualisation du système d'exploitation du processeur 3. Les étapes de mise à jour sont représentées sur le logigramme de la figure 4. En pratique, d'autres étapes non décrites ici peuvent être mises en oeuvre entre le procédé représenté sur la figure 3 et les étapes visibles sur la figure 4. [0089] Le procédé de mise à jour de la mémoire 13 avec de nouvelles données débute à l'étape E50. Lors de l'étape E50, le processeur 3 détecte si de nouvelles données sont disponibles. [0090] Si aucune nouvelle donnée n'est disponible, cela signifie que la mémoire 13 associée au processeur 3 est à jour (le processeur 3 reste en attente de nouvelles données). [0091] En revanche, si de nouvelles données sont disponibles, le procédé se poursuit à l'étape E52. Lors de cette étape, le processeur 3 mémorise les nouvelles données dans la mémoire 13. [0092] A l'étape E54, l'élément électronique 5 vérifie que les nouvelles données sont ac- ceptables en vérifiant la signature électronique de ces nouvelles données (reçues à l'étape E52). Pour ce faire, l'élément électronique 5 peut mettre en oeuvre un algorithme de vérification de la signature électronique utilisant une clé publique (par exemple la clé publique du fournisseur des nouvelles données concernées), les nouvelles données et la signature électronique. En pratique par exemple, l'élément électronique 5 calcule un condensat (ou un résumé de ces données formé d'une pluralité de condensats) de l'ensemble des nouvelles données d'une part, et applique d'autre part un algorithme cryptographique à la signature électronique. L'élément électronique 5 compare alors le condensat obtenu au résultat de l'application de l'algorithme cryptographique. [0093] Si un échec de vérification de la signature électronique est observé à l'étape E54, c'est-à-dire si l'algorithme de vérification de la signature électronique précité donne un résultat négatif (dans l'exemple susmentionné si le condensat obtenu à partir des nouvelles données est différent du résultat de l'application de l'algorithme cryptographique à la signature électronique), le système I est redémarré et le procédé reprend à l'étape E50 avec la recherche d'une éventuelle nouvelle mise à jour des données de la mémoire 13 associée au processeur 3. Suite à un échec de vérification de la signature 11 électronique (les données de référence n'étant donc pas mises àjour), et dans le cas d'une vérification ultérieure conformément à la figure 3, la vérification des données reçues à l'étape E30 pourrait ne pas être concluante. Dans ce cas, le procédé se poursuivrait par un redémarrage ou une mise hors tension comme indiqué précédemment. [0094] Si la signature électronique des nouvelles données est vérifiée avec succès à l'étape E54, c'est-à-dire si l'algorithme de vérification de la signature électronique précité donne un résultat positif (dans l'exemple susmentionné si le condensai obtenu à partir des nouvelles données correspond au résultat de l'application de l'algorithme cryptographique à la signature électronique), le procédé se poursuit à l'étape E56, où le processeur 3 confirme à l'élément électronique 5 la mise àjour des nouvelles données reçues dans la mémoire 13 ce qui provoque la mise à jour des données de référence dans le module de mémorisation 15 de l'élément électronique 5. Les données de référence sont alors remplacées par de nouvelles données de référence. En pratique, pour chaque partie de la mémoire 13, une nouvelle empreinte des nouvelles données est déterminée par application de la même fonction de hachage que celle introduite précédemment. L'ensemble des nouvelles empreintes des nouvelles données va constituer l'ensemble des nouvelles données de référence (qui vont être mémorisées dans le module de mémorisation 15). [0095] Suite à ces étapes de mise àjour, les nouvelles données mémorisées dans le processeur 3 et les nouvelles données de références mémorisées dans l'élément électronique 5 sont celles qui seront utilisées lors de la prochaine mise sous tension du système 1, c'est-à-dire la mise en oeuvre du procédé représenté sur la figure 3. 12