Brevet FR3106685A1 — publié le 20210730

L'invention concerne un procédé de sécurisation des notifications audio générées par un calculateur d’un véhicule, mis en œuvre dans un environnement d’exécution de confiance, comportant des étapes de : - réception (E1) d’une requête d’émission sonore venant du calculateur, - transmission (E2) de la requête à un environnement d’exécution d’un système multimédia dudit véhicule, -réception (E3) d’un flux audio envoyé par ledit environnement d’exécution dudit système multimédia, - lecture (E4) d’une marque numérique associée à la requête dans une base de données, - détermination (E5) d’une marque numérique à partir du flux audio, -comparaison (E6) de la marque numérique lue avec la marque numérique déterminée, - si la marque numérique lue correspond à la marque numérique déterminée, envoi (E7) du flux audio en entrée d’un système de génération de son, sinon inhibition ou modification (E8) du flux audio. Figure pour l’abrégé : Figure 4 Procédé et système de sécurisation des notifications audio d’un calculateur de véhicule La présente invention se rapporte de manière générale aux domaines des télécommunications et de l’automobile, et concerne plus précisément la sécurisation des notifications sonores émises par les systèmes d’aide à la conduite d’un véhicule tels qu’un radar de recul, un système d’alerte de franchissement de ligne, etc. Les véhicules actuels disposent de systèmes multimédia permettant à un utilisateur d’écouter la radio, des fichiers musicaux téléchargés, de suivre des informations de guidage vocal et d’être notifié des alertes sonores générées par des systèmes d’aide à la conduite ou par un système de conduite autonome si l’on considère un véhicule autonome. Or un tel système multimédia est susceptible d’être piraté, un logiciel malveillant pouvant prendre son contrôle, notamment pour générer une explosion sonore (assourdissement du conducteur) ou pour modifier ou inhiber les notifications sonores émises par les systèmes d’aide à la conduite. Un tel piratage nuit à la sécurité du conducteur. Afin de sécuriser la notification d’alertes sonores d’un système d’aide à la conduite, il est possible de séparer matériellement le traitement de ces notifications du système multimédia. Dans ce cas un processeur de signal numérique dit de confiance (aussi appelé « trusted Digital Signal Processor » en anglais), isolé matériellement du processeur principal du système multimedia, reçoit les requêtes d’émission sonore des calculateurs du véhicule, génère les flux audio correspondants et les envoie à un système de haut-parleurs du véhicule. Il est également possible, en variante, de séparer le traitement logiciel des requêtes d’émission sonore des calculateurs du véhicule, des autres traitements logiciels effectués par le système multimédia. Cela nécessite l’intégration d’un hyperviseur ou plate-forme de virtualisation, entre la partie matérielle et la partie logicielle du système multimédia. Néanmoins ces deux solutions utilisant des solutions d’isolement sont coûteuses car elles nécessitent soit un processeur spécifique de taille non négligeable, soit une plate-forme de virtualisation. De plus ces solutions ne sont pas compatibles avec tous les choix d’architecture de connexions audio dans un véhicule. Un des buts de l'invention est de remédier à au moins une partie des inconvénients de la technique antérieure en fournissant un système et un procédé de sécurisation des notifications sonores issues des calculateurs d’un véhicule, qui soient peu coûteux et nécessitent peu de modifications des connexions audio du véhicule. A cette fin, l'invention propose un procédé de sécurisation d’un ensemble de notifications audio générées par au moins un calculateur dédié au fonctionnement d’un véhicule, ledit procédé étant mis en œuvre dans un environnement d’exécution de confiance, ledit procédé comportant une étape de réception d’une requête d’émission sonore en provenance dudit au moins un calculateur, caractérisé en ce qu’il comporte en outre des étapes de : - transmission de ladite requête à un environnement d’exécution d’un système multimédia dudit véhicule, - réception d’un flux audio envoyé par ledit environnement d’exécution dudit système multimédia, ledit flux audio correspondant à ladite requête, - lecture d’au moins une marque numérique associée à ladite requête dans une base de données dudit environnement d’exécution de confiance, - détermination d’au moins une marque numérique à partir dudit flux audio, - comparaison de ladite au moins une marque numérique lue avec ladite au moins une marque numérique déterminée, - si ladite au moins une marque numérique lue correspond à ladite au moins une marque numérique déterminée, envoi dudit flux audio en entrée d’un système de génération de son dudit véhicule, sinon inhibition dudit flux audio ou modification dudit flux audio avant son envoi en entrée dudit système de génération de son. Grâce à l’invention, on vérifie qu’une notification sonore est bien jouée lors de l’émission d’une requête du calculateur du véhicule, et on authentifie et on vérifie l’intégrité des notifications audio dues à un calculateur du véhicule avant leur émission sonore, sans isoler complètement leur traitement. En effet, les fichiers audio sont stockés et leurs flux peuvent être prétraités dans l’environnement d’exécution du système multimédia. Ainsi l’environnement d’exécution de confiance est en mesure de sécuriser des flux audio éventuellement prétraités et de bonne qualité audio, sans nécessiter lui-même beaucoup de ressources matérielles et/ou logicielles. Ainsi à prestations égales la solution proposée selon l’invention est moins coûteuse que dans l’art antérieur. Selon une caractéristique avantageuse du procédé selon l’invention, ladite au moins une marque numérique est une signature numérique, et l’étape de détermination d’au moins une marque numérique à partir dudit flux audio est une étape de signature numérique dudit flux audio ou de portions prédéfinies dudit flux audio avec une clef de chiffrement stockée dans ledit environnement d’exécution de confiance. Cette variante principale de réalisation de l’invention est simple à mettre en œuvre. Dans cette variante principale de réalisation, avantageusement ledit procédé selon l’invention comporte en outre les étapes préalables suivantes mises en œuvre par un système d’exécution en dehors dudit véhicule : - pour chaque fichier audio d’une base de données de notifications audio attribuées audit au moins un calculateur dédié au fonctionnement du véhicule : - lecture dudit fichier audio et génération d’un flux audio correspondant, - génération d’une signature dudit flux audio ou de signatures de portions prédéfinies dudit flux audio avec ladite clef de chiffrement, - pré-traitement de spatialisation dudit flux audio suivant différentes zones du véhicule et obtention d’un flux audio prétraité pour chacune desdites zones, - pour chaque flux audio prétraité obtenu précédemment, génération d’une signature dudit flux audio prétraité ou de portions prédéfinies dudit flux audio prétraité avec ladite clef de chiffrement, - stockage des signatures générées précédemment dans ladite base de données dudit environnement d’exécution de confiance, et stockage de ladite clef de chiffrement dans une mémoire dudit environnement d’exécution de confiance. Ainsi le traitement effectué dans l’environnement d’exécution de confiance pour authentifier et vérifier l’intégrité des flux audio ne requière que peu de ressources de calcul. Selon encore une autre caractéristique avantageuse du procédé selon l’invention, lorsque ladite au moins une marque numérique lue n’est pas identique à ladite au moins une marque numérique déterminée à partir dudit flux audio, un enregistrement d’anomalie correspondant est effectué dans le véhicule. Cet enregistrement permet d’effectuer un diagnostic ultérieur, par exemple par envoi d’un message depuis le véhicule vers un serveur externe de maintenance du constructeur. Alternativement, ladite au moins une marque numérique est un tatouage numérique. Ce tatouage numérique consiste par exemple en l’ajout de contenu audio à une fréquence non audible à tous les signaux audio codés dans les fichiers audio correspondant aux requêtes d’émission sonore dudit au moins un calculateur, ce contenu étant connu uniquement du constructeur du véhicule. Cette alternative de réalisation nécessite moins de traitement dans l’environnement d’exécution de confiance puisque l’authentification des flux/signaux audio et la vérification de leur intégrité consiste alors en une détection simple du tatouage numérique. Elle nécessite par contre en amont l’implémentation d’un algorithme de tatouage numérique robuste et efficace pour la création des fichiers audio. Selon encore une autre caractéristique avantageuse du procédé selon l’invention, ledit flux audio est mixé à l’entrée dudit système de génération de son avec une ou plusieurs autres sources audio dudit système multimédia. Cela permet par exemple de corréler une alerte sonore due à un système d’aide à la conduite avec une indication de navigation par exemple. L'invention concerne aussi un système de sécurisation d’un ensemble de notifications audio générées par au moins un calculateur dédié au fonctionnement d’un véhicule, comportant un environnement d’exécution de confiance, des moyens de réception d’une requête d’émission sonore en provenance dudit au moins un calculateur, caractérisé en ce qu’il comporte en outre : - des moyens de transmission de ladite requête d’émission sonore à un environnement d’exécution d’un système multimédia dudit véhicule, - des moyens de réception d’un flux audio envoyé par ledit environnement d’exécution du système multimédia, ledit flux audio correspondant à ladite requête, - des moyens de lecture d’au moins une marque numérique associée à ladite requête dans une base de données dudit environnement d’exécution de confiance, - des moyens de détermination d’au moins une marque numérique à partir dudit flux audio, - des moyens de comparaison de ladite au moins une marque numérique lue par lesdits moyens de lecture avec ladite au moins une marque numérique déterminée par lesdits moyens de détermination, aptes à activer des moyens d’envoi dudit flux audio en entrée d’un système de génération de son dudit véhicule si lesdites marques numériques correspondent, et aptes à activer des moyens d’inhibition dudit flux audio ou des moyens de modification dudit flux audio si lesdites marques numériques ne correspondent pas. Selon une variante principale de réalisation du système selon l’invention, ladite au moins une marque numérique est une signature numérique et lesdits moyens de détermination sont des moyens de signature numérique dudit flux audio ou de portions prédéfinies dudit flux audio avec une clef de chiffrement stockée dans ledit environnement d’exécution de confiance. Dans cette variante principale de réalisation, le système selon l’invention comporte en outre un système d’exécution extérieur au véhicule, une base de données de fichiers audio correspondant à un ensemble de notifications audio attribuées audit au moins un calculateur dédié au fonctionnement du véhicule, et: - des moyens de lecture de chacun desdits fichiers audio et de génération de flux audio correspondants, - des moyens de pré-traitement de spatialisation de chacun desdits flux audio suivant différentes zones du véhicule et de génération de flux audio prétraités correspondants pour chacune desdites zones, - des moyens de génération de signatures numériques de tout ou de portions prédéfinies de chaque flux audio prétraité généré par lesdits moyens de pré-traitement, et de tout ou de portions prédéfinies de chaque flux audio généré par lesdits moyens de lecture, avec ladite clef de chiffrement, - et des moyens de stockage des signatures générées par lesdits moyens de génération de signature numérique dans ladite base de données dudit environnement d’exécution de confiance et de stockage de ladite clef de chiffrement dans une mémoire dudit environnement d’exécution de confiance. Alternativement, dans le système de sécurisation selon l’invention, ladite au moins une marque numérique est un tatouage numérique. L’invention concerne encore un programme d’ordinateur comportant des instructions de code de programme pour l’exécution du procédé selon l’invention lorsque ledit programme est exécuté sur un ou plusieurs processeurs. Le système de sécurisation selon l’invention et le programme d’ordinateur selon l’invention présentent des avantages analogues à ceux du procédé de sécurisation selon l’invention. D'autres caractéristiques et avantages apparaîtront à la lecture d’un mode de réalisation préféré décrit en référence aux figures dans lesquelles : représente un système d’exécution externe à un véhicule dans lequel sont exécutées des étapes préalables du procédé de sécurisation selon l’invention, dans ce mode préféré de réalisation selon l'invention, représente un système multimédia et un environnement d’exécution de confiance dans lequel est mis en œuvre une étape préalable du procédé de sécurisation selon l’invention, dans ce mode préféré de réalisation selon l'invention, représente des étapes préalables du procédé de sécurisation selon l’invention, dans ce mode de réalisation préféré selon l'invention, représente des étapes du procédé de sécurisation selon l’invention, dans ce mode préféré de réalisation de l’invention, et représente un système multimédia et un environnement d’exécution de confiance dans lequel sont mises en œuvre des étapes du procédé de sécurisation selon l’invention dans ce mode de réalisation préféré de l’invention. Selon un mode préféré de réalisation de l'invention, des étapes préalables EP1 à EP4 du procédé de sécurisation selon l’invention, représentées sur la figure 3 , sont réalisées dans un système d’exécution représenté à la figure 1 . Ce système d’exécution est externe à un véhicule dans lequel les notifications sonores générées notamment par un système d’aide à la conduite du véhicule, sont sécurisées par le procédé de sécurisation selon l’invention. Ces étapes préalables sont effectuées par exemple lors de la production du véhicule, ou lors de la mise à jour des fichiers audio correspondants aux notifications sonores. La première étape préalable EP1 est la lecture, dans une base BN de données de fichiers audio correspondant aux notifications sonores susceptibles d’être jouées à la demande d’un calculateur lié au fonctionnement du véhicule, notamment un calculateur d’un système d’aide à la conduite du véhicule, des trames P de chacun de ces fichiers audio. Ces fichiers audio sont par exemple des fichiers numériques « .wav » (d’après l’anglais « Waveform Audio File Format ») contenant des échantillons de signaux audio obtenus par modulation par impulsion et codage (aussi appelés échantillons PCM pour « Pulse Code Modulation »). Dans cette étape EP1, ces trames P lues sont envoyées sous forme de flux audio simultanément : - à des moyens de génération de signatures de portions prédéfinies de ces flux audio, - et à des moyens de pré-traitement de spatialisation de ces flux audio. L’étape préalable EP3 suivant l’étape préalable EP1 est le pré-traitement de spatialisation des trames P de chaque flux audio suivant différentes zones Z du véhicule par les moyens de prétraitement. Ces moyens de spatialisation créent des flux audio prétraités qui, lorsqu’ils sont joués, donnent l’illusion que le son provient d’un endroit du véhicule, par exemple à l’avant droit du véhicule, à l’avant gauche du véhicule, à l’arrière gauche du véhicule ou à l’arrière droit du véhicule. Ces moyens de spatialisation utilisent des techniques connues de traitement de signaux audio. Les moyens de spatialisation créent autant de flux audio prétraités par fichier audio initial que de zones Z du véhicule concernées, par exemple quatre flux audio prétraités pour les quatre zones précitées. L’étape EP2 suivant également l’étape préalable EP1 est la génération de signatures S de portions prédéfinies de chaque flux audio généré à l’étape EP1, avec une clef de chiffrement symétrique C connue seulement du constructeur du véhicule, par les moyens de génération de signature. Les signatures S sont obtenues par un algorithme de type code d’authentification de message (CAM) ou MAC en anglais par exemple HMAC (d’après l’anglais «keyed-hash message authentication code») utilisant la clef de chiffrement C. Dans ce mode préféré de réalisation de l’invention, lors de cette étape EP2 le flux audio généré à l’étape EP1 est signé portion par portion, selon une partition du flux audio en portions prédéfinies, correspondant par exemple chacune à une période du signal audio codé. Par exemple si le flux audio comporte en tout 33 périodes de trois échantillons audio PCM chacun, lors de l’étape EP2, 33 signatures seront générées correspondant chacune à un hachage d’une période du flux audio généré. Dans un processus impliquant un flux audio, le traitement portion par portion du flux audio permet de le traiter « à la volée » c’est-à-dire de ne mémoriser et de ne traiter qu’une portion du flux à la fois, les portions de flux précédemment traitées pouvant ainsi faire l’objet en parallèle d’autres traitements du même processus. Ainsi ce choix de traiter le flux audio portion par portion dans cette étape EP2 permet de diminuer le délai entre la réception d’une requête d’émission sonore par un calculateur et l’émission du flux audio correspondant vers un haut-parleur dans les étapes du procédé selon l’invention décrites plus loin et qui seront mises en œuvre dans le véhicule. En variante il est possible de signer tout le flux audio d’un coup et de n’obtenir qu’une signature correspondante à la fin de l’étape EP2, mais cela demande plus de mémoire tampon pour la mise en œuvre du procédé et plus de délai également entre la réception d’une requête d’émission sonore par un calculateur et l’émission du flux audio correspondant vers un haut-parleur. Enfin il est à noter que pour assurer l’intégrité du flux audio dans le procédé selon l’invention, le contenu entier du flux audio doit être signé dans cette étape EP2, soit d’un seul tenant soit portion par portion. On obtient donc à la fin de l’étape EP2, autant de signatures S que de portions prédéfinies de fichiers audio de la base de données BN, correspondant par exemple aux périodes des signaux audio codés dans ces fichiers audio. Ces signatures sont stockées dans une base de données BS de signatures, chacune en lien avec un identifiant du fichier audio correspondant. L’étape EP4 suivant l’étape EP3 est la génération de signatures S de portions prédéfinies de chaque flux audio prétraité obtenu à la fin de l’étape EP3, par les moyens de génération de signature. Ces moyens utilisent également la clef de chiffrement symétrique C mentionnée précédemment pour générer des signatures S obtenues par l’algorithme de type code d’authentification de message (CAM) ou MAC en anglais par exemple HMAC sur des périodes prédéfinies de chaque flux audio prétraité, par exemple chaque période du signal audio correspondant. Pour chaque fichier audio de la base de données BN, autant de jeux de signatures S que de zones Z sont donc obtenues dans cette étape, par le hachage de portions prédéfinies correspondantes, par exemple PP1, PP2, PP3 et PP4 correspondant aux portions prédéfinies de quatre flux prétraités pour un même fichier audio. Chaque jeu de signatures comporte autant de signatures que de portions prédéfinies du fichier audio, par exemple autant de signatures que de périodes du signal audio codé dans ce fichier audio. Les signatures S ainsi obtenues sont stockées dans la base de données de signature BS. La base de signatures BS ainsi constituée est ensuite stockée lors d’une étape préalable EP5 dans la mémoire persistante d’un environnement d’exécution de confiance TEE (d’après l’anglais « Trusted Execution Environment ») du véhicule, représenté sur la figure 2 . Cet environnement d’exécution de confiance TEE utilise un processeur de traitement numérique de signal TDSP (d’après l’anglais « Trusted Data Signal Processing »), distinct du processeur utilisé par l’environnement d’exécution d’un système multimédia EEMM du véhicule. Cet environnement d’exécution EEMM est donc logiciellement et matériellement séparé de l’environnement d’exécution de confiance TEE, sauf par une interface de communication très limitée. Plus précisément, l’environnement d’exécution de confiance TEE est apte à : - recevoir des requêtes d’émission sonore en provenance de calculateurs dédiés au fonctionnement du véhicule, c’est-à-dire implémentant des fonctions essentielles telles que le contrôle moteur, le contrôle de trajectoire, en opposition aux fonctions multimédia qui sont implémentées dans l’environnement d’exécution du système multimédia EEMM ; Ces requêtes d’émission sonores reçues par l’environnement d’exécution de confiance TEE proviennent directement de l’interface de communication véhicule, le bus CAN par exemple (d’après l’anglais « Controller Area Network) dont les messages sont prédefinis. - communiquer ces requêtes d’émission sonore à l’environnement d’exécution du système multimédia EEMM ; - recevoir des flux multimédia depuis l’environnement d’exécution du système multimédia EEMM ; - contrôler le volume sonore et les entrées d’un système de génération de son du véhicule tel qu’un haut-parleur et amplificateur audio. Notamment en cas de détection d’une utilisation anormale de l’interface homme-machine de l’environnement d’exécution du système multimédia EEMM, dédiée au réglage du volume sonore, par exemple en cas de détection d’un appui anormalement long sur une touche augmentant le volume sonore, l’environnement d’exécution de confiance coupera le son ou diminuera son volume. Dans cette étape préalable EP5, la clef de chiffrement symétrique C est également stockée dans la mémoire de l’environnement d’exécution de confiance TEE. De plus la base de données de notifications BN est stockée dans l’environnement d’exécution du système multimédia EEMM. En référence aux figures 4 et 5 , le procédé de sécurisation selon l'invention, tel qu’implémenté dans l’environnement d’exécution de confiance TEE, est représenté sous la forme d'un algorithme comportant des étapes E1 à E8. Ces étapes sont mises en œuvre après les étapes préalables EP1 à EP5, lors d’une phase d’utilisation du véhicule. L'étape E1 est la réception d’une requête REQ d’émission sonore en provenance d’un calculateur du véhicule, par exemple un calculateur implémentant le contrôle de la trajectoire du véhicule. Plus précisément cette requête est reçue par un module de contrôle CANC des trames CAN en provenance d’un bus de communication. L’étape suivante E2 est la transmission de la requête REQ à l’environnement d’exécution du système multimédia EEMM du véhicule. En parallèle l’identifiant de fichier audio associé à cette requête REQ est enregistré par l’environnement d’exécution de confiance. Lorsque l’environnement d’exécution du système multimédia EEMM reçoit cette requête REQ, il lit dans la base de données BN de notifications le fichier audio correspondant. Le flux F audio correspondant est ensuite envoyé à l’environnement d’exécution de confiance TEE, éventuellement après un prétraitement 3DP de spatialisation, afin que l’environnement d’exécution de confiance TEE le route vers l’entrée d’un ou plusieurs haut-parleurs/amplificateurs. Dans cet exemple d’utilisation de l’invention on suppose que le flux F audio est spatialisé par le module 3DP de spatialisation. En sortie de ce module 3DP, un flux spatialisé FP1, FP2, FP3 ou FP4, en fonction de la zone indiquée dans la requête REQ, est donc envoyé à l’environnement d’exécution de confiance TEE. Dans une étape E21 intermédiaire entre l’étape E2 et l’étape E3, l’environnement d’exécution de confiance TEE attend la réception du flux correspondant à la requête REQ précédemment reçue. Plus précisément le flux étant traité portion par portion, dans cette étape E21 l’environnement d’exécution de confiance TEE attend la réception portion prédéfinie par portion prédéfinie, de ce flux. Si dans cette étape intermédiaire E21 la portion prédéfinie de flux attendue n’a pas été reçue à l’expiration d’un délai prédéterminé, c’est que l’environnement d’exécution du système multimédia EEMM ne traite pas la requête REQ de façon normale et l’étape suivante est l’étape E8 de traitement d’une anomalie. On suppose dans cet exemple d’utilisation de l’invention que ce cas ne se produit pas. L'étape E3 suivant l’étape E2 est donc la réception par l’environnement d’exécution de confiance TEE de ce flux prétraité, envoyé par l’environnement d’exécution du système multimédia EEMM. Plus précisément l’environnement d’exécution de confiante TEE traite, dans cette étape E3, le flux prétraité à la volée, il reçoit donc ce flux prétraité portion par portion, ces portions étant prédéfinies comme aux étapes EP2 et EP4. Pour plus de clarté dans la suite de la description, on appelle la portion prédéfinie en cours de traitement lors des étapes E3 à E7, la portion prédéfinie courante, ces étapes E3 à E7 étant mises en oeuvre successivement sur chaque portion prédéfinie du flux audio successivement reçue lors de cette étape E3. L’étape suivante E4 est la lecture par l’environnement d’exécution de confiance TEE, d’une signature S2 correspondant à la portion prédéfinie courante du flux reçu à l’étape E3, dans la base de données de signature BS. Pour cela l’environnement d’exécution de confiance TEE utilise l’identifiant de fichier audio contenu dans la requête REQ enregistrée à l’étape E2, ainsi que l’identifiant de zone indiqué dans cette requête REQ. L’étape E5 effectuée parallèlement à l’étape E4, est la signature de la portion prédéfinie courante de ce flux audio, avec la clef de chiffrement C. Lors de cette étape E5, on utilise le même algorithme qu’aux étapes EP2 et EP4. De plus la portion signée dans cette étape E5 est prédéfinie de la même façon, il s’agit donc dans cet exemple de la période du signal audio correspondante. On obtient donc, à la fin de cette étape E5, une signature S1 correspondant à la portion prédéfinie courante du flux audio reçu à l’étape E3. L’étape E6 est la comparaison de la signature S2 obtenue à l’étape E4, avec la signature S1 obtenue à l’étape E5. Si ces signatures sont identiques, alors l’étape suivante est l’étape E7, sinon l’étape suivante est l’étape E8. L’étape E7 est l’envoi sans modification de la portion prédéfinie courante du signal audio reçu à l’étape E3 en entrée d’un système de génération de son SHP du véhicule. Il s’agit par exemple d’un haut-parleur/amplificateur à entrée numérique. Ce signal est éventuellement mixé avant son envoi sur le haut-parleur SHP, avec d’autres sources audio SA1, SA2 ou SA3 situées dans l’environnement d’exécution du système multimédia, qui peuvent être une information de guidage, un tintement prédéfini, ou bien un message vocal prédéfini. L’étape E8 est l’inhibition du flux audio reçu à l’étape E3, car détecté non conforme à la requête REQ à l’étape E6, ou car une portion du flux n’a pas été détecté à l’étape E21. En variante dans cette étape E8 un flux audio prédéfini est joué à la place du flux audio reçu à l’étape E3, par exemple un bip sonore. En parallèle à cette étape E8, une alerte est stockée dans la mémoire de l’environnement d’exécution de confiance TEE, ou envoyée directement à un serveur externe de diagnostic ou de maintenance. D’autres modes de réalisation de l’invention sont bien sûr possibles. Notamment dans un autre mode de réalisation de l’invention, on utilise un tatouage numérique au lieu d’une signature numérique. Dans ce cas les étapes E4, E5 et E6 se résument à la détection du tatouage numérique dans le flux audio reçu à l’étape E3. Si celui-ci est détecté le flux audio est envoyé non modifié à l’entrée son du véhicule, sinon il est inhibé ou remplacé par un autre flux audio. De plus, de nombreuses variantes du mode préféré de réalisation de l’invention sont possibles. Par exemple en variante l’étape E4 a lieu après l’étape E5, ou bien en variante il n’y a pas de spatialisation des flux audio. Enfin le prétraitement de spatialisation du flux audio est en variante effectué dans l’environnement d’exécution de confiance TEE. Procédé de sécurisation d’un ensemble de notifications audio générées par au moins un calculateur dédié au fonctionnement d’un véhicule, ledit procédé étant mis en œuvre dans un environnement d’exécution de confiance (TEE), ledit procédé comportant une étape (E1) de réception d’une requête d’émission sonore (REQ) en provenance dudit au moins un calculateur, caractérisé en ce qu’il comporte en outre des étapes de : - transmission (E2) de ladite requête (REQ) à un environnement d’exécution d’un système multimédia (EEMM) dudit véhicule, - réception (E3) d’un flux audio envoyé par ledit environnement d’exécution dudit système multimédia (EEMM), ledit flux audio correspondant à ladite requête (REQ), - lecture (E4) d’au moins une marque numérique (S2) associée à ladite requête (REQ) dans une base de données (BS) dudit environnement d’exécution de confiance (TEE), - détermination (E5) d’au moins une marque numérique (S1) à partir dudit flux audio, - comparaison (E6) de ladite au moins une marque numérique lue (S2) avec ladite au moins une marque numérique déterminée (S1), - si ladite au moins une marque numérique lue (S2) correspond à ladite au moins une marque numérique déterminée (S1), envoi (E7) dudit flux audio en entrée d’un système de génération de son (SHP) dudit véhicule, sinon inhibition (E8) dudit flux audio ou modification dudit flux audio avant son envoi en entrée dudit système de génération de son (SHP). Procédé de sécurisation selon la revendication 1, dans lequel ladite au moins une marque numérique (S1, S2) est une signature numérique, et l’étape de détermination (E5) d’au moins une marque numérique (S1) à partir dudit flux audio est une étape de signature numérique dudit flux audio ou de portions prédéfinies dudit flux audio avec une clef de chiffrement (C) stockée dans ledit environnement d’exécution de confiance (TEE). Procédé de sécurisation selon la revendication 2, comportant en outre les étapes préalables suivantes mises en œuvre par un système d’exécution en dehors dudit véhicule : - pour chaque fichier audio d’une base de données (BN) de notifications audio attribuées audit au moins un calculateur dédié au fonctionnement du véhicule : - lecture (EP1) dudit fichier audio et génération d’un flux audio correspondant, - génération (EP2) d’une signature dudit flux audio ou de signatures de portions prédéfinies dudit flux audio avec ladite clef de chiffrement (C), - pré-traitement (EP3) de spatialisation dudit flux audio suivant différentes zones (Z) du véhicule et obtention d’un flux audio prétraité pour chacune desdites zones, - pour chaque flux audio prétraité obtenu précédemment, génération (EP4) d’une signature dudit flux audio prétraité ou de portions prédéfinies dudit flux audio prétraité avec ladite clef de chiffrement (C), - stockage (EP5) des signatures générées précédemment dans ladite base de données (BS) dudit environnement d’exécution de confiance (TEE), et stockage de ladite clef de chiffrement (C) dans une mémoire dudit environnement d’exécution de confiance (TEE). Procédé de sécurisation selon l’une quelconque des revendications 1 à 3, dans lequel, lorsque ladite au moins une marque numérique lue (S2) n’est pas identique à ladite au moins une marque numérique déterminée (S1) à partir dudit flux audio, un enregistrement d’anomalie correspondant est effectué dans le véhicule. Procédé de sécurisation selon la revendication 1, caractérisé en ce que ladite au moins une marque numérique est un tatouage numérique. Procédé de sécurisation selon l’une quelconque des revendications 1 à 5, dans lequel ledit flux audio est mixé à l’entrée dudit système de génération de son (SHP) avec une ou plusieurs autres sources audio (SA1, SA2, SA3) dudit système multimédia. Système de sécurisation d’un ensemble de notifications audio générées par au moins un calculateur dédié au fonctionnement d’un véhicule, comportant un environnement d’exécution de confiance (TEE), des moyens de réception (CANC) d’une requête (REQ) d’émission sonore en provenance dudit au moins un calculateur, caractérisé en ce qu’il comporte en outre : - des moyens de transmission (CANC) de ladite requête d’émission sonore à un environnement d’exécution d’un système multimédia (EEMM) dudit véhicule, - des moyens de réception d’un flux audio envoyé par ledit environnement d’exécution du système multimédia (EEMM), ledit flux audio correspondant à ladite requête (REQ), - des moyens de lecture d’au moins une marque numérique (S2) associée à ladite requête (REQ) dans une base de données (BS) dudit environnement d’exécution de confiance (TEE), - des moyens de détermination d’au moins une marque numérique (S1) à partir dudit flux audio, - des moyens de comparaison de ladite au moins une marque numérique lue (S2) par lesdits moyens de lecture avec ladite au moins une marque numérique déterminée (S1) par lesdits moyens de détermination, aptes à activer des moyens d’envoi dudit flux audio en entrée d’un système de génération de son (SHP) dudit véhicule si lesdites marques numériques (S1, S2) correspondent, et aptes à activer des moyens d’inhibition dudit flux audio ou des moyens de modification dudit flux audio si lesdites marques numériques (S1, S2) ne correspondent pas. Système de sécurisation selon la revendication 7 dans lequel ladite au moins une marque numérique (S1, S2) est une signature numérique et lesdits moyens de détermination sont des moyens de signature numérique dudit flux audio ou de portions prédéfinies dudit flux audio avec une clef de chiffrement (C) stockée dans ledit environnement d’exécution de confiance (TEE). Système de sécurisation selon la revendication 8, comportant en outre un système d’exécution extérieur au véhicule, une base de données (BN) de fichiers audio correspondant à un ensemble de notifications audio attribuées audit au moins un calculateur dédié au fonctionnement du véhicule, et : - des moyens de lecture de chacun desdits fichiers audio et de génération de flux audio correspondants, - des moyens de pré-traitement de spatialisation de chacun desdits flux audio suivant différentes zones (Z) du véhicule et de génération de flux audio prétraités correspondants pour chacune desdites zones (Z), - des moyens de génération de signatures numériques (S) de tout ou de portions prédéfinies de chaque flux audio prétraité généré par lesdits moyens de pré-traitement, et de tout ou de portions prédéfinies de chaque flux audio généré par lesdits moyens de lecture, avec ladite clef de chiffrement (C), - des moyens de stockage des signatures (S) générées par lesdits moyens de génération de signature numérique dans ladite base de données (BS) dudit environnement d’exécution de confiance (TEE) et de stockage de ladite clef de chiffrement (C) dans une mémoire dudit environnement d’exécution de confiance. (TEE) Système de sécurisation de la revendication 7 dans lequel ladite au moins une marque numérique est un tatouage numérique. Programme d’ordinateur comportant des instructions de code de programme pour l’exécution du procédé selon l’une quelconque des revendications 1 à 6 lorsque ledit programme est exécuté sur un ou plusieurs processeurs.