Brevet FR3120142A1 — publié le 20220826

L’invention propose un procédé d’authentification de données d’image entre un module d’éclairage pour un véhicule automobile comprenant une source lumineuse matricielle regroupant une pluralité de sources lumineuses élémentaires, et un module de commande d’un véhicule automobile. Le procédé est remarquable en ce que la projection de données d’image par le module d’éclairage est accompli conditionnellement à une authentification réussie. (Fig. 1) PROCEDE D’AUTHENTIFICATION DE DONNEES ENTRE UN MODULE DE COMMANDE ET UN MODULE D’ECLAIRAGE POUR UN VEHICULE AUTOMOBILE L’invention se rapporte aux modules d’éclairage pour véhicules automobiles. En particulier, l’invention se rapporte à de tels modules impliquant des sources lumineuses pixellisées. Une diode électroluminescente, LED, est un composant électronique semi-conducteur capable d’émettre de la lumière lorsqu’il est parcouru par un courant électrique ayant au moins une intensité seuil. Dans le domaine automobile, on a de plus en plus recours à la technologie LED pour diverses solutions de signalisation lumineuse. Des matrices de LED sont particulièrement intéressantes dans le domaine de l’éclairage automobile. Des sources lumineuses pixellisées ou matricielles peuvent être utilisées pour des fonctions de type « levelling », i.e., ajustement de la hauteur du faisceau lumineux émis, en fonction de l'assiette du véhicule et du profil de la route. D’autres applications comprennent le DBL (« Digital Bending Light ») ce qui correspond à l’ajustement de la direction du faisceau lumineux émis, pour suivre la route dans le plan horizontal, l’ADB (« Adaptive Driving Beam ») qui correspond à une fonction anti-éblouissement qui génère des zones d'ombre dans le faisceau lumineux émis par un feu de route pour ne pas gêner d'autres usagers de la route, mais aussi des fonctions de projection de motifs au sol utilisant le faisceau lumineux pixelisé. Il est connu d’utiliser des sources lumineuses de différents types de technologies pour les applications d’éclairage citées. Il s’agit par exemple de la technologie monolithique, suivant laquelle une pluralité importante de sources élémentaires de type LED, équivalentes à des pixels, sont gravées dans un substrat semi-conducteur commun. Des connexions électriques intégrées permettent d'activer les pixels indépendamment les uns des autres. Une autre technologie connue est celle des microLED, qui engendre une matrice de LEDs de faibles dimensions, typiquement inférieures à 150µm. Il existe aussi des modules de type à micro-miroirs, DMD (« Digital Micro-Mirror Device »), qui impliquent une technologie de projection utilisant un modulateur d'intensité sur un faisceau uniforme. Des micro-miroirs, dont la position est commandée moyennant des éléments piézo-électriques, sont orientés de manière à réfléchir sélectivement un faisceau lumineux incident, de manière à ce que chaque micro-miroir corresponde à une source élémentaire de la matrice de pixels ainsi générée. La lumière issue d’une source est dirigée sur la matrice de micro-miroirs par une optique. Cette lumière a donc une distribution variable d’un module à l’autre, à cause du positionnement et des tolérances de fabrication de l’optique et de la source de lumière. Ceci engendre une intensité maximale variable d’un module à l’autre, pour un pixel donné. Dans ce cas chaque pixel aura une intensité maximale différente en fonction de la commande qui lui est transmise. De tels dispositifs d’éclairage sont conçus par des méthodes de production de masse. Il existe obligatoirement un jeu entre les éléments constitutifs du dispositif d’éclairage et/ou de signalisation d’une part pour permettre un assemblage aisé, et d’autre part parce que les pièces ne sont généralement pas usinées mais plutôt moulées en plastique, ce qui permet de réduire les coûts de production. Il faut souligner, en particulier, la difficulté à aligner parfaitement une matrice à micro-miroirs avec la partie optique de projection, qui comprend généralement au moins une lentille. Du fait de la grande ouverture numérique de l’objectif utilisé pour la fonction de projection, la qualité de projection de l’image se dégrade significativement dès que le décalage latéral de l’axe optique atteint quelques micromètres. En pratique des déformations de l’image projetées sont donc inévitables en utilisant des solutions connues dans l’art. Chaque module de projection de ce type a un jeu de caractéristiques optiques qui lui est propre, notamment des caractéristiques d'aberrations géométriques, dont des propriétés de distorsion optique et d'aberration sphérique. Lors de la production de micro-miroirs, des aberrations géométriques peuvent être introduites. Tous ces éléments résultent dans un comportement non-homogène de la source lumineuse matricielle. Tous ces modules précités ont des caractéristiques propres liées à la combinaison des tolérances de fabrication des composants. Lors de la production de composants semi-conducteurs tels que des LEDs ou des matrices de LEDs, des variations de de courant direct sont à ce jour inévitables. Il s’ensuit que dans une matrice de LEDs donnée, à courant de charge égale, les LEDs émettent des faisceaux lumineux d’intensités variables, non-homogènes. Alors qu’il est possible de corriger des consignes de projection afin de tenir compte des spécificités électroniques et/ou optiques d’un module d’éclairage, lorsqu’un défaut intervient au niveau du module lumineux, il est important de pouvoir néanmoins projeter une image par défaut qui manque d’éblouir les autres usagers de la route. Lors de l’appairage entre un module de commande d’un véhicule automobile et d’un module d’éclairage, des données décrivant des caractéristiques de l’un ou l’autre des modules peuvent être échangées entre les modules afin de pouvoir en tenir compte lors du fonctionnement du véhicule automobile. Ces paramètres sont spécifiques à l’instance du module d’éclairage et peuvent être différents entre deux modules d’éclairage issus d’un même procédé de fabrication. Il est donc important de pouvoir s’assurer de la concordance entre les paramètres échangés lors de l’appairage et les paramètres utilisés lors du fonctionnement du module d’éclairage – d’autant plus dans le cas d’un éventuel échange de module d’éclairage. Il a été proposé de piloter des sources lumineuses pixellisées en tension : une tension électrique commune est appliquée à toutes les sources lumineuses élémentaires qui forment la matrice de la source lumineuse pixellisée. L’intensité du courant électrique qui travers chaque source lumineuse élémentaires est alors commandée moyennant un signal à modulation de largeur d’impulsion. Le rapport cyclique du signal a un impact sur l’intensité moyenne du courant, qui à son tour à une influence sur le degré de luminosité émis par la source lumineuse élémentaires. Afin de prévenir une situation d’emballement thermique, une calibration électrothermique dépendante des caractéristiques individuelles de chaque source lumineuse matricielle doit être stockée dans un module de commande, par exemple lors de l’appairage des deux modules en question. Un emballement thermique a lieu lorsqu’une jonction semi-conductrice d’une source lumineuse élémentaire s’échauffe suite au courant électrique qui la traverse, ce qui implique que l’intensité de ce courant électrique augmente davantage, jusqu’à ce que la jonction soit endommagée ou détruite. Une calibration erronée ne permet pas d’éviter cette situation. L’invention a pour objectif de pallier à au moins un des problèmes posés par l’art antérieur. Plus précisément, l’invention a pour objectif de proposer un procédé d’authentification de données entre un module de commande d’un véhicule automobile et un module d’éclairage commandé par celui-ci. Selon un premier aspect de l’invention, un procédé d’authentification de données d’image entre un module de commande transmetteur et un module d’éclairage récepteur pour un véhicule automobile est proposé. Les deux modules comprennent une unité de transmission respectivement de réception de données d’image et sont reliés par un premier canal de transmission de données d’image. Le procédé est remarquable en ce qu’il comprend les étapes de : a) transmission de données d’image comprenant au moins un facteur d’authentification du module de commande vers le module d’éclairage ; b) suite à la réception desdites données d’image au niveau du module d’éclairage, vérification du facteur d’authentification moyennant une unité de calcul; c) au niveau du module d’éclairage, abandon de la communication avec le module de commande si ladite vérification échoue, sinon poursuite de la communication. De préférence, le procédé peut comprendre une étape de projection des données d’image par le module d’éclairage conditionnellement à un succès de vérification des données d’images reçues. De préférence, le facteur d’authentification peut comprendre des données cryptographiquement chiffrées. Le module d’éclairage peut comprendre un élément de mémoire dans lequel sont stockées des données de vérification permettant de vérifier lesdites données chiffrées. Les données cryptographiquement chiffrées peuvent de préférence comprendre une valeur hachée couvrant au moins les données d’image transmises à l’étape a). De préférence, le facteur d’authentification peut comprend une indication d’une date, ou d’un compteur d’échanges de données entre les deux modules. Le procédé peut préférentiellement comprendre l’étape préliminaire d’échange de clés de chiffrage publiques entre les deux modules, lesdites clés de chiffrage faisant partie de paires de chiffrages publiques/privées associées aux deux modules respectivement. Le facteur d’authentification peur de préférence comprendre des données signées ou chiffrées à l’aide de la clé privée du module de commande. De préférence, il peut comprendre un valeur haché couvrant au moins une partie ou l’intégralité des données d’images transmises à l’étape a), la valeur hachée étant signée moyennant la clé de chiffrage privée associée au module de commande. Des données décrivant l’au moins un facteur d’authentification peuvent de préférence être rajoutées aux données d’image avant transmission. De manière préférée, un deuxième canal de transmission de données bidirectionnel peut relier le module de commande et le module d’éclairage. Le procédé peut de préférence comprendre une étape d’authentification du module de commande auprès du module d’éclairage et/ou vice-versa moyennant un échange de données sur le deuxième canal de transmission de données. Le deuxième canal peut de préférence être un canal de contrôle associé au premier canal de transmission de données d’images. En accord avec un deuxième aspect de l’invention, un système d’éclairage pour un véhicule automobile est proposé. Le système comprend un module de commande transmetteur ainsi qu’un module d’éclairage récepteur les deux modules comprenant une unité de transmission respectivement de réception de données d’image et sont reliés par un premier canal de communication de données d’image. Le système d’éclairage est remarquable en ce que le module de commande et le module d’éclairage sont configurés pour mettre en œuvre les étapes du procédé selon l’aspect précédent de l’invention. De préférence, le module d’éclairage peut comprendre un élément de mémoire sécurisé destiné à stocker des données de vérification permettant de vérifier les données chiffrées reçues. L’élément de mémoire sécurisé est de préférence intégré à une puce de type ASIC qui réalise la source lumineuse. Il peut notamment être intégré au substrat d’une source pixellisée de type monolithique. L’unité de commande peut de préférence comprendre un élément microcontrôleur. L’unité de commande peut préférentiellement comprendre une puce de type « Field Programmable Gate Array », FPGA, « Application Specific Integrated Circuit », ASIC, ou « Complex Programmable Logic Device », CPLD. Ces éléments sont configurés moyennant un programme informatique approprié pour mettre en œuvre les fonctionnalités décrites. Le module d’éclairage peut préférentiellement comprendre une source lumineuse pixellisée comprenant un substrat dans lequel ledit élément de mémoire sécurisé est intégré. De préférence, chacun des deux modules peut comprendre une horloge, les horloges des deux modules étant synchronisées. De préférence, un compteur peut être initialisé à une valeur commune lors de l’appairage du module d’éclairage et du module de commande. De préférence, le compteur peut être incrémenté à la transmission et/ou réception d’un message au niveau de chacun des deux modules. De préférence, les données cryptographiquement chiffrées peuvent comprendre une valeur hachée d’une indication de date, ou d’un compteur d’échanges de données entre les deux modules. De préférence, le facteur d’authentification peut comprendre des données signées ou chiffrées à l’aide de la clé privée du module transmetteur. La communication entre les deux modules peut de préférence être abandonnée suite à un nombre prédéterminé d’échecs de vérification des données décrivant un facteur d’authentification du module transmetteur. La source lumineuse matricielle peut de préférence comprendre une source monolithique, comprenant des sources lumineuses élémentaires électroluminescentes à éléments semi-conducteurs gravées dans un substrat commun et activables indépendamment les unes des autres. La source lumineuse matricielle peut de préférence comprendre une matrice de type micro LED, comprenant une matrice de sources élémentaires réalisées par des diodes électroluminescentes, LED, de faibles dimensions, typiquement inférieures à 150 μm. La source lumineuse matricielle peut de préférence comprendre un dispositif à micro-miroirs, DMD, (« Digital micromirror device »), dans lequel une source élémentaire comprend un micro-miroir d’une matrice, qui réfléchit de manière sélective en fonction de sa position un faisceau de lumière incident. Le module d’éclairage peut de préférence comprendre une unité de commande. L’unité de commande peut de préférence être configurée pour commander ladite source lumineuse matricielle. De préférence, le module d’éclairage et/ou le module de commande peut comprendre un processeur programmé pour chiffrer et/ou signer des données moyennant une clé cryptographique enregistrée dans ledit élément de mémoire. De préférence, une défaillance au niveau du module d’éclairage et/ou du module de commande du véhicule automobile peut être détectée lorsque le déchiffrage des données n’aboutit pas ou lorsque ladite signature ne peut pas être validée. Le module d’éclairage peut de préférence comprendre une unité de réception/d’envoi de données. L’unité de réception et d’envoi de données peut de préférence comprendre une interface réseau capable de recevoir/envoyer des données sur un bus de données interne au véhicule automobile. Par exemple, le bus peut être un bus Ethernet, un bus de type Gigabit Multimedia Serial Link, GMSL, ou un bus de technologie Low Voltage Differential Signaling, LVDS, comme un bus FPD-Link III. Selon un autre aspect de l’invention, un programme d’ordinateur est proposé, comprenant une suite d’instructions qui, lorsqu’elles sont exécutées par un processeur, conduisent le processeur à mettre en œuvre un procédé selon un aspect de l’invention. Selon encore un autre aspect de l’invention, un support de stockage non transitoire lisible par ordinateur est proposé, ledit support stockant un programme d’ordinateur selon l’aspect précédent de l’invention. En utilisant les mesures proposées par la présente invention, il devient possible de proposer un procédé d’authentification de données d’image entre un module de commande d’un véhicule automobile et un module d’éclairage commandé par celui-ci. Ceci permet aux deux modules de s’assurer automatiquement que le module qui lui transmet des données d’image, par exemple sur un bus vidéo du véhicule automobile, est bien le module avec lequel un procédé d’appairage a préalablement eu lieu lors de l’assemblage du véhicule automobile. En plus, le procédé permet de vérifier l’intégrité des données reçues. Lorsque lors de l’appairage des paramètres décrivant par exemple l’assiette du véhicule, la position du module d’éclairage au sein du véhicule automobile, ou encore des données de calibration (électrothermiques ou autres) d’une source lumineuse du module d’éclairage sont échangés, il est important que les modules puissent s’assurer que les paramètres initialement échangés restent valables. Ceci est possible en utilisant le procédé d’authentification de données selon des aspect de l’invention. Une authentification réussie peut par exemple signifier que les modules ont été appariés correctement au préalable, alors qu’une authentification non réussie signifie que l’un ou l’autre des modules a été échangé entretemps, qu’un nouvel appairage est nécessaire, ou que l’un ou l’autre des modules est en mode de défaillance. En intégrant les données d’authentification dans le flux d’images transmis sur le bus vidéo, la solution proposée permet de déceler rapidement un problème d’authentification, sans pour autant nécessiter une connexion spécifique et dédiée à cet effet. En utilisant des valeurs hachées des images de commande transmises, la bande passante requise pour ce procédé d’authentification est en plus maitrisée et limitée. D’autres caractéristiques et avantages de la présente invention seront mieux compris à l’aide de la description des exemples et des dessins parmi lesquels : - montre la séquence des étapes principales d’un procédé en accord avec un mode de réalisation préférentiel de l’invention ; - est une illustration d’un système d’éclairage en accord avec un mode de réalisation préférentiel de l’invention. Sauf indication spécifique du contraire, des caractéristiques techniques décrites en détails pour un mode de réalisation donné peuvent être combinées aux caractéristiques techniques décrites dans le contexte d’autres modes de réalisation décrits à titre d’exemples et de manière non limitative. La description se concentre sur les éléments d’un module d’éclairage pour un véhicule automobile qui sont nécessaires à la compréhension de l’invention. D’autres éléments, qui font de manière connue partie de tels modules, ne seront pas mentionnées ni décrits en détails. Par exemple, la présence et le fonctionnement d’un circuit convertisseur impliqué dans l’alimentation électrique d’une source lumineuse matricielle, en soi connu, ne sera pas décrit en détails. Il en va de même pour des éléments optiques tels que des lentilles par exemple. La illustre les étapes principales d’un procédé d’authentification selon un mode de réalisation préférentiel de l’invention. Le procédé implique un système d’éclairage 100 tel qu’il est illustré par la . Les module de commande 110 et le module d’éclairage 120 comprennent chacun une unité de transmission 114 de données d’image, respectivement de réception de données d’images 124 et ils sont reliés par un canal de communication de données 140 qui permet la transmission de données d’image à destination du module d’éclairage 120. Le canal de communication comprend par exemple un bus de données vidéo ou un canal de transmission de données à haut débit. Il permet de transmettre des données d’images digitales, dans lesquelles la valeur de chaque pixel correspond typiquement à une consigne lumineuse, qui est à réaliser par une source lumineuse élémentaire 124 d’une source lumineuse pixellisée 122 du module d’éclairage, moyennant un pilotage approprié en soi connu dans l’art. Lors d’une première étape a) des données d’image 130, F1 comprenant au moins un facteur d’authentification F1 sont transmises du module de commande vers le module d’éclairage. A l’étape b) les données d’image sont reçues au niveau du module d’éclairage 120, et le facteur d’authentification F1 est vérifié à l’aide d’une unité de calcul 126. Ensuite, à l’étape c), le procédé abandonne la communication avec le module de commande 110 si ladite vérification échoue. Si la vérification succède, la communication est poursuivie, et les données d’image 130 sont de préférence projetées à l’aide de commande appropriés de la source lumineuse pixellisée. De préférence, le module en question est mis en défaillance et un message correspondant est émis à destination d’une unité centrale du véhicule automobile. La fonction d’authentification peut par exemple comprendre l’échange préliminaire de clés cryptographiques publiques entre les deux modules en question 110, 120 permettant ainsi la vérification par l’un et l’autre de l’authenticité de données signées moyennant les clés cryptographique privées correspondantes. Les clés sont de préférence enregistrées dans des éléments de mémoires 118, 128 des deux modules 110, 120. Selon un mode de réalisation préférentiel, l’échange des clés peu se faire sur un deuxième canal 150 bidirectionnel qui relie les deux modules. Il peut par exemple s’agir d’un canal de contrôle d’un bus vidéo, ou d’un bus de données à débit relativement faible, par exemple de type CAN. Afin de réaliser la fonction d’authentification, le module d’éclairage 120 ainsi que le module de commande 110 du véhicule automobile comprennent des moyens de calcul 126, 116 pour générer respectivement vérifier le facteur d’authentification F1. De préférence, la génération du facteur d’authentification est faite en fonction d'un temps ou d'une date, pouvant être exprimé en une unité de temps quelconque, par exemple en millisecondes, ou d'un compteur comptant des échanges ou des cycles de calcul, ou d'un autre élément qui évolue avec le nombre d'échanges, pouvant être réinitialisé lorsque qu'il dépasse une taille prédéfinie. Selon un mode de réalisation particulier, le facteur d’authentification F1 comprend une valeur hachée, calculée à l’aide d’une fonction de hachage cryptographique, en utilisant les données d’image 130 comme entrée. Cette valeur hachée peut optionnellement être signée cryptographiquement moyennant une clé de chiffrage privée associée au module de commande 110. Avant la transmission des données d’images 130, le facteur d’authentification F1 est rajouté aux données de consignes lumineuses. De préférence, les données concaténées sont transmises sur le bus vidéo 140. Alternativement, un codage du facteur F1 par des procédés de stéganographie dans les données d’image 130 elles-mêmes peut être envisagé sans pour autant sortir du cadre de la présente invention. Le facteur d’authentification F1 est donc de préférence transmis comme s’il s’agissait de valeurs de pixels ou de lignes supplémentaires faisant partie des données d’image. Après réception au niveau du module d’éclairage 120, l’unité de calcul 126 permet de vérifier la signature des la valeur hachée F1, et de vérifier si un hachage local des données d’image 130 reçues correspond à la valeur F1 reçue. Si la signature n’est pas vérifiée ou si les valeurs hachées reçues et calculées ne correspondent pas, l’authentification a échouée et l’image correspondante n’est pas projetée par la source lumineuse pixellisée. Des fonctions de hachage connues dans l’art permettent de générer un résultat différent pour toute entrée de calcul différente qui lui est présentée. Des valeurs hachées qui diffèrent permettent donc de conclure que les données d’entrée (ici : les données d’image transmises et les d’image reçues) présentées à la fonction de hachage sont différentes. Si la signature ne peut pas être validée, le module de commande a par exemple été échangé (il comprend ainsi une nouvelle clé privée, ou aucune de clé de chiffrage) sans procédure d’appairage appropriée. L’échec de l’authentification ne permet plus de garantir que les données 130 reçues sont adaptées à la projection moyennant la matrice 122. Si les deux modules comprennent des horloges et/ou des compteurs synchronisés, l’un et l’autre peuvent vérifier les données correspondantes du facteur d’authentification F1 en les comparant à la valeur de sa propre horloge, ou de son propre compteur correspondant. Dans le cas où l’authentification entre le contrôleur et le microcontrôleur échoue, la fonction d'éclairage peut être mise dans un mode de défaillance de la communication. Avantageusement, le mode de défaillance n'est activé que lorsque des échecs de l'authentification sont répétés, ce qui permet d'éviter d'activer le mode de défaillance si la liaison a été perturbée, par exemple par des perturbations électromagnétiques passagères. Le mode de défaillance de la communication peut impliquer les procédures suivantes, prises seules ou en combinaison : - l'arrêt de la fonction d'éclairage ou la projection par le module d'éclairage d'une image par défaut, - la génération par le module de commande 110 d'un signal de défaillance émis vers un système central de gestion de l'automobile. Le module d’éclairage 120 comprend de préférence une source lumineuse matricielle 122 regroupant une pluralité de sources lumineuses élémentaires 123. Dans l’exemple illustré, il s’agit d’une matrice de LEDs sans pour autant que l’invention ne soit limitée à cet exemple. La source lumineuse matricielle peut également être réalisée par un dispositif à micro-miroirs, pour lequel chaque miroir est adapté à générer un faisceau lumineux élémentaire d’une matrice. Le module comprend une unité de réception et d’envoi de données 124, il s’agit par exemple d’une interface capable de recevoir et décoder des messages sur un bus de données vidé interne au véhicule automobile, tel qu’un bus de type GMSL (« Gigabit Multimedia Serial Link »). L’unité de réception de données 124 est destinée à recevoir des données d’au moins un module de commande 110 du véhicule automobile – notamment elle peut réaliser les échanges des étapes a) ou b) du procédé d’authentification décrits préalablement, de préférence ensemble avec l’unité de calcul 126 à laquelle l’unité de réception de données 124 est reliée. Le module 120 comprend en outre un élément de mémoire 128, tel qu’une mémoire de type flash, auquel l’unité de calcul 130 est fonctionnellement reliée et possède un accès en lecture. Dans tous les modes de réalisation, il peut s’agir d’un élément de mémoire optionnel sécurisé qui permet le stockage de données nécessaires à la vérification du facteur d’authentification F1. Ces données peuvent par exemple comprendre la clé privée du module d’éclairage 120 et/ou la clé de chiffrage publique du module de commande 110. De préférence, cet élément de mémoire est intégré dans un boitier qui incorpore la source lumineuse pixellisée, ou dans une puce de type ASIC qui réalise la source lumineuse pixellisée 122. Ainsi il devient impossible d’accéder à la mémoire sécurisée sans détruire la source lumineuse. Un élément de mémoire peut également comprendre des données de calibration propres à la source matricielle 122. A titre d’exemple les données peuvent comprendre pour chaque source lumineuse élémentaire 123 une valeur indiquant la différence de luminosité par rapport à la luminosité moyenne de la source matricielle 122, possiblement sur une gamme d’intensités de courant de charge. Les données de calibration peuvent néanmoins comprendre des paramètres optiques, thermiques ou géométriques de calibration plus complexes, sans pour autant sortir du cadre de la présente invention. Dans tous les modes de réalisation de l’invention, le système lumineux 100 peut en outre comprendre un deuxième canal de transmission de données 150, qui permet un échange de données bidirectionnel entre le module de commande et le module d’éclairage 120. Il peut s’agir d’un bus CAN ou d’un canal de contrôle à débit de données réduit faisant partie d’un bus vidéo. Ce canal 150 peut par exemple être utilisé pour échanger des clés de chiffrage cryptographiques. Le canal 150 peut également être utilisé pour authentifier le module de commande 110 auprès du module d’éclairage 120. Un procédé d’authentification entre les modules peut être mis en œuvre périodiquement, ou bien en réponse à un échec de vérification de données d’image 130 reçues. Le procédé d’authentification entre les modules 120, 110 peut notamment être du type challenge-réponse, qui nécessite une communication bidirectionnelle. De tels procédés peuvent de manière connue nécessiter la fourniture, par le module de commande 110, d’un mot de passe, ou d’une valeur de réponse calculée moyennant un algorithme prédéterminé suite à la réception d’une valeur de challenge aléatoire reçue. L’authentification peut être validée par l’unité de calcul 126 du module d’éclairage en comparant la réponse reçue à la réponse attendue. Si l’authentification échoue, le module 120 peut de préférence se mettre en défaillance, comme décrit précédemment. Il va de soi que les modes de réalisation décrits ne limitent pas l’étendue de la protection de l’invention. En faisant recours à la description qui vient d’être donnée, d’autres modes de réalisation sont envisageables sans pour autant sortir du cadre de la présente invention. L’étendue de la protection est déterminée par les revendications. Procédé d’authentification de données d’image (130) entre un module de commande transmetteur (110) et un module d’éclairage récepteur (120) pour un véhicule automobile, les deux modules (110, 120) comprenant une unité de transmission (114) respectivement de réception (124) de données d’image et étant reliés par un premier canal de transmission de données d’image (140), caractérisé en ce que le procédé comprend les étapes de transmission de données d’image (130, F1) comprenant au moins un facteur d’authentification (F1) du module de commande vers le module d’éclairage ; suite à la réception desdites données d’image au niveau du module d’éclairage, vérification du facteur d’authentification (F1) moyennant une unité de calcul (126) ; au niveau du module d’éclairage, abandon de la communication avec le module de commande si ladite vérification échoue, sinon poursuite de la communication. Procédé selon l’une des revendications précédentes, caractérisé en ce que le facteur d’authentification (F1) comprend des données cryptographiquement chiffrées, le module d’éclairage comprenant un élément de mémoire (128) dans lequel sont stockées des données de vérification permettant de vérifier lesdites données chiffrées. Procédé selon la revendication précédente, caractérisé en ce que les données cryptographiquement chiffrées comprennent une valeur hachée couvrant au moins les données d’image (130) transmises à l’étape a). Procédé selon la revendication précédente, caractérisé en ce que le facteur d’authentification (F1) comprend une indication d’une date, ou d’un compteur d’échanges de données entre les deux modules (110, 120). Procédé selon l’une des revendications précédentes, comprenant l’étape préliminaire d’échange de clés de chiffrage publiques entre les deux modules (110, 120), lesdites clés de chiffrage faisant partie de paires de chiffrages publiques/privées associées aux deux modules respectivement. Procédé selon la revendication précédente, caractérisé en ce que le facteur d’authentification (F1) comprend des données signées ou chiffrées à l’aide de la clé privée du module de commande. Procédé selon l’une des revendications précédentes, caractérisé en ce que des données décrivant l’au moins un facteur d’authentification (F1) sont rajoutées aux données d’image (130) avant transmission. Procédé selon l’une des revendications précédentes, caractérisé en ce qu’un deuxième canal de transmission de données bidirectionnel (150) relie le module de commande (110) et le module d’éclairage (120), et en ce que le procédé comprend une étape d’authentification du module de commande auprès du module d’éclairage et/ou vice-versa moyennant un échange de données sur le deuxième canal de transmission de données. Système d’éclairage (100) pour un véhicule automobile, le système comprenant un module de commande transmetteur (110) ainsi qu’un module d’éclairage récepteur (120), les deux modules comprenant une unité de transmission (114) respectivement de réception (124) de données d’image et étant reliés par un premier canal de communication de données d’image (140), caractérisé en ce que le module de commande et le module d’éclairage sont configurés pour mettre en œuvre les étapes du procédé selon l’une des revendications précédentes . Système d’éclairage selon la revendication précédente, caractérisé en ce que le module d’éclairage (120) comprend un élément de mémoire sécurisé (128) destiné à stocker des données de vérification permettant de vérifier des données chiffrées reçues. Système d’éclairage selon la revendication précédente, caractérisé en ce que le module d’éclairage comprend une source lumineuse pixellisée (122) comprenant un substrat dans lequel ledit élément de mémoire sécurisé (128) est intégré. Programme d’ordinateur comprenant une suite d’instructions qui, lorsqu’elles sont exécutées par un processeur, conduisent le processeur à mettre en œuvre un procédé selon une des revendications 1 à 9.