Brevet FR3152326A1 — publié le 20250228

La présente invention concerne un procédé et dispositif de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, ledit procédé comprenant les étapes suivantes : - émission (41), par le premier calculateur, d’un premier signal porteur d’une première donnée à destination du deuxième calculateur ; - validation (42), par le deuxième calculateur, d’une réception du premier signal émis par le premier calculateur ; - si la réception du premier signal est validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un premier mode de fonctionnement ; - si la réception du premier signal n’est pas validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un deuxième mode de fonctionnement et, mémorisation (43), par le deuxième calculateur, d’une deuxième donnée indiquant que le premier calculateur fonctionne selon le deuxième mode de fonctionnement. Figure pour l’abrégé : Figure 5 Procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule La présente invention concerne la cybersécurité à bord d’un véhicule, notamment automobile. Plus particulièrement, la présente invention concerne les failles de sécurité qui peuvent se produire entre deux calculateurs d’un véhicule lorsque ces calculateurs échangent des signaux pour contrôler une fonction d’un véhicule tel que le contrôle d’un groupe motopropulseur d’un véhicule. Arrière-plan technologique Les véhicules contemporains embarquent nombre de périphériques intégrant des calculateurs assurant chacun une ou plusieurs fonctions, telles que par exemple une fonction de gestion d’aide à la conduite, une fonction d’antipatinage, une fonction de répartition électronique du freinage, ou encore une fonction de commande d’actionneurs pour assurer le fonctionnement optimal d’un groupe motopropulseur thermique, hybride ou électrique. Ces calculateurs sont reliés entre eux via un bus de données série multiplexé de type CAN (de l’anglais « Controller Area Network » ou en français « Réseau de contrôleurs »). Les bus de données de type CAN existent dans différentes versions, comme le bus CAN LS (de anglais « Low Speed », en français « Faible vitesse », le débit maximal étant approximativement de 125Kbit/s), le bus CAN HS (de anglais « High Speed », en français « Grande vitesse », le débit maximal étant approximativement de 1Mbit/s), le bus CAN FD (de l’anglais « Flexible Data-Rate », en français « Débit de données Flexible » débit jusqu’à 15Mbit/s). Certaines de ces fonctions assurent la sécurité du véhicule. On parle parfois de fonctions de cybersécurité. Ces fonctions de cybersécurité requièrent des échanges sécurisés de signaux de commande entre un premier calculateur destinataire de signaux de commande et un deuxième calculateur émetteur de ces signaux de commande. Parmi les fonctions de cybersécurité, on peut citer la fonction d’immobilisation électronique du véhicule qui requiert une authentification du deuxième calculateur auprès du premier calculateur préalablement à l’échange de signaux de commande entre le deuxième calculateur émetteur des signaux de commande et le premier calculateur récepteur de ces signaux de commande. Le premier calculateur peut être par exemple un MCU (de l’anglais « Machine Control Unit », en français unité de contrôle moteur) ou encore un CMM (Contrôle Moteur Multifonctions) ou RMCU (de l’anglais « Rear Machine Control Unit, en français, unité de contrôle moteur arrière) suivant la diversité du groupe motopropulseur du véhicule (thermique/hybride/électrique), et le deuxième calculateur peut être un VSM (Vehicule Supervisor Module, en français module de supervision du véhicule). On peut également citer la fonction d’anti-vol électronique du véhicule qui requiert une authentification du deuxième calculateur auprès du premier calculateur préalablement à l’échange de signaux de commande entre le deuxième calculateur émetteur des signaux de commande et le premier calculateur récepteur de ces signaux de commande. Le premier calculateur peut être, par exemple un TCU (de l’anglais « Transmission Control Unit », en français unité de contrôle transmission) ou encore EPLU (de l’anglais Electrical Park Lock Unit, en français, unité de verrouillage électronique de stationnement) suivant la diversité du groupe motopropulseur du véhicule (thermique/hybride avec boîte de vitesse mécanique ou électrique) et le deuxième calculateur peut être un VSM. La FIG. 1 illustre schématiquement un processus d’authentification d’un deuxième calculateur 12 auprès d’un premier calculateur 11. Le premier calculateur 11 émet un signal 13 à destination du deuxième calculateur 12. Le signal 13 est porteur d’une donnée aléatoire 131 encore appelée graine (‘seed’ en anglais). Le deuxième calculateur 12 calcule une donnée d’authentification à partir de la donnée aléatoire 131 et d’une clé de chiffrement utilisée par le deuxième calculateur 12 et émet un signal 14 porteur de la donnée d’authentification à destination du premier calculateur 11. Le premier calculateur 11 calcule une donnée d’authentification à partir de la donnée aléatoire 131 et d’une clé de chiffrement qu’il utilise et compare la donnée d’authentification portée par le signal 14 reçu et la donnée d’authentification qu’il vient de calculer. Si ces données d’authentification sont identiques alors le premier calculateur 11 fonctionne selon un mode de fonctionnement ‘déverrouillé’, c’est-à-dire que tout signal de commande 15 émis par le deuxième calculateur 12 à destination du premier calculateur 11 est pris en compte par le premier calculateur 11. Si ces données d’authentification ne sont pas identiques ou si le premier calculateur 11 ne reçoit pas le signal 14, alors le premier calculateur 11 fonctionne selon un mode de fonctionnement ‘verrouillé’, c’est-à-dire que tout signal de commande 15 émis par le deuxième calculateur 12 à destination du premier calculateur 11 n’est pas pris en compte par le premier calculateur 11. Le premier calculateur 11 destinataire de signaux de commande 15 peut fonctionner selon soit le mode de fonctionnement ‘verrouillé’ soit selon le mode de fonctionnement ’déverrouillé’. L’utilisation de ces deux modes de fonctionnement du premier calculateur 11 peut s’avérer utile. Par exemple, dans un mode ‘production’ du véhicule, c’est-à-dire dans un mode dans lequel le premier calculateur 11 est sensé fonctionner une fois que le véhicule est utilisé par un usager, la prise en compte par ce premier calculateur 11 d’un signal de commande 15 émis par le deuxième calculateur 12 demande l’authentification préalable du deuxième calculateur 12 émetteur du signal de commande 15. Le deuxième calculateur 12 doit alors s’authentifier auprès du premier calculateur 11 et le premier calculateur 11 fonctionne alors en mode ‘déverrouillé’ lorsque le deuxième calculateur 12 est authentifié. Le fonctionnement du premier calculateur 11 en ‘déverrouillé’ assure la fiabilité des fonctions de sécurité du véhicule telles que la fonction d’immobilisation ou d’anti-vol électronique du véhicule Le premier calculateur 11 peut aussi être configuré pour prendre en compte des signaux de commande 15 émis par le deuxième calculateur 12 sans authentification préalable du deuxième calculateur 12 auprès du premier calculateur 11. On parle parfois de mode ‘développement ‘ du véhicule. C’est le cas, par exemple, lors du développement des fonctionnalités du véhicule (alloués aux calculateurs 11 et 12) ou lors d’une phase de maintenance ou de réparation du véhicule. Dans le cas, les fonctionnalités d’immobilité et d’anti-vol du véhicule peuvent ne pas être assurées. Cette configuration particulière du premier calculateur 11 permet de ne pas pénaliser les équipes qui développent notamment le premier calculateur 11 en procédant à des validations et des phases de mise au point et/ou d’expertise. Il peut arriver que un ou plusieurs premiers calculateurs 11 restent configurés en mode ‘développement’ lorsque le véhicule fonctionne en mode ‘production’ en sortie d’usine ou lorsque ce véhicule sort d’une phase de maintenance ou de réparation. Le véhicule peut alors être utilisé par un usager et des signaux de commande 15 peuvent être acceptés par un premier calculateur 11 fonctionnant en mode ‘développement’ pour commander, notamment, le groupe motopropulseur du véhicule créant ainsi une faille de cybersécurité du véhicule. Les véhicules actuels peuvent également mettre en œuvre des fonctions de cybersécurité telles que la fonction de démarrage sécurisé du premier calculateur 11 (en anglais ‘secure boot’) ou de mise à jour sécurisée du premier calculateur 11 (en anglais ‘secure update’) qui font intervenir des clés de chiffrement dites de ‘pre-production’ fixées à des valeurs particulières et publiques (connues) uniquement pour valider la bonne implémentation de ces fonctions de cybersécurité dans des premiers calculateurs 11. Ces premiers calculateurs 11 fonctionnent alors dans un mode de ‘pre-production’. Une fois que l’implémentation des fonctions de cybersécurité a été validée, les clés de chiffrement dites de ‘production’ fixées à d’autres valeurs privées remplacent les clés de chiffrement de ‘pre-production’. Les premiers calculateurs 11 fonctionnent alors dans un mode ‘production’. Il peut arriver que un ou plusieurs premiers calculateurs 11 continuent à utiliser des clés de chiffrement de ‘pre-production’ lorsque le véhicule fonctionne en mode ‘production’ en sortie d’usine ou lorsque ce véhicule sort d’une phase de maintenance ou de réparation. Il s’en suit des failles de sécurité des fonctions de cybersécurité du véhicule. Résumé de la présente invention Un objet de la présente invention est de résoudre au moins l’un des problèmes de l’arrière-plan technologique décrit précédemment. Un autre objet de la présente invention est de sécuriser un véhicule contres des attaques de cybersécurité. Un autre objet de la présente invention est de fiabiliser les fonctions assurant la sécurité du véhicule telles que l'immobilisation électronique ou l'anti-vol électronique. Selon un premier aspect, la présente invention concerne un procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur, le premier et le deuxième calculateur étant embarqués dans un véhicule, ledit procédé comprenant les étapes suivantes : - émission, par le premier calculateur, d’un premier signal porteur d’une première donnée aléatoire à destination du deuxième calculateur ; - validation, par le deuxième calculateur, d’une réception du premier signal émis par le premier calculateur ; - si la réception du premier signal est validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un premier mode de fonctionnement ; - si la réception du premier signal n’est pas validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un deuxième mode de fonctionnement et, mémorisation, par le deuxième calculateur, d’une deuxième donnée indiquant que le premier calculateur fonctionne selon le deuxième mode de fonctionnement. Un tel procédé assure qu’un véhicule ne soit pas exposé à une faille de sécurité à l’issue de son montage, de sa maintenance ou de sa réparation. Selon une variante, le procédé comporte en outre une étape d’émission d’un deuxième signal porteur de la deuxième donnée par le deuxième calculateur à destination d’un dispositif de diagnostic distant en communication avec le deuxième calculateur via un réseau de communication. La présente invention signale tout calculateur en mode ‘développement’ à un opérateur en usine ou en service après-vente grâce à la remontée de la deuxième donnée pouvant prendre la forme d’un code d’erreur accessible via des outils de diagnostics actuels. Il est ainsi possible de contrôler la conformité en termes de cybersécurité du véhicule à l’issue de sa production, de sa maintenance ou de sa réparation. Selon une variante, le procédé comporte en outre une étape de réception, par le deuxième calculateur, d’un troisième signal porteur d’une requête de diagnostic émis par le dispositif de diagnostic distant et, suite à la réception du troisième signal, le deuxième calculateur émet le deuxième signal. Selon un exemple de réalisation particulier et non limitatif, la première donnée est une donnée aléatoire et la réception du premier signal est validée lorsque le premier signal est reçu par le deuxième calculateur ; le premier calculateur fonctionnant selon le premier mode de fonctionnement lorsque le deuxième calculateur doit s’authentifier auprès du premier calculateur préalablement à l’acceptation par le premier calculateur de signaux de commande émis par le deuxième calculateur ; le premier calculateur fonctionnant selon le deuxième mode de fonctionnement lorsque le deuxième calculateur ne doit pas s’authentifier auprès du premier calculateur préalablement à l’acceptation par le premier calculateur de signaux de commande émis par le deuxième calculateur. Ce mode de réalisation ajoute un moyen de détection du/des calculateur(s) resté(s) en mode ‘développement’ à l’issue du montage, de la maintenance ou de la réparation d’un véhicule en surveillant l’absence d’authentification des calculateurs – prérequis indispensable à l’échange de signaux via un bus de données CAN sensibles comme un ordre de démarrage du groupe motopropulseur du véhicule ou un ordre de libération de la mobilité du véhicule dans le cadre des fonctions immobiliseur électronique ou anti-vol électronique. Selon un exemple de réalisation particulier et non limitatif, la première donnée est produite, par le premier calculateur, à partir d’une donnée non cryptée (« en clair ») et d’une clé de chiffrement utilisée par le premier calculateur, la réception du premier signal est alors validée par le deuxième calculateur si le deuxième calculateur reçoit la donnée non cryptée et la première donnée et si la première donnée a été produite par le premier calculateur à partir d’une clé de chiffrement autorisée par le deuxième calculateur ; le premier calculateur fonctionnant selon le premier mode de fonctionnement lorsque le premier calculateur utilise une clé de chiffrement autorisée par le deuxième dispositif ; le premier calculateur fonctionnant selon le deuxième mode de fonctionnement lorsque le premier calculateur n’utilise pas une clé de chiffrement autorisée par le deuxième dispositif. Selon un mode de réalisation particulier et non limitatif, la validation de la réception du premier signal comporte les étapes suivantes : - émission, par le deuxième calculateur, d’un quatrième signal porteur d’un nombre aléatoire et d’une requête de calcul de la première donnée à partir du nombre aléatoire et d’une clé de chiffrement utilisée par le premier calculateur, à destination du premier calculateur ; - calcul de la première donnée par le premier calculateur, à partir du nombre aléatoire porté par le quatrième signal et d’une clé de chiffrement utilisée par le premier calculateur ; - émission, par le premier calculateur, du premier signal porteur de la première donnée à destination du deuxième calculateur ; - calcul, par le deuxième calculateur, d’une donnée d’authentification à partir du nombre aléatoire et d’une clé de chiffrement qu’il utilise ; - comparaison, par le deuxième calculateur, de la première donnée portée par le premier signal émis par le premier calculateur et reçu et la donnée d’authentification calculée par le deuxième calculateur ; - si la première donnée est identique à la donnée d’authentification alors la réception du premier signal est validée ; -sinon, la réception du premier signal n’est pas validée. Ce mode de réalisation est avantageux car il permet à un deuxième calculateur 22 de savoir si un premier calculateur 21 utilise des clés de chiffrement de ‘pre-production’ alors que ce premier calculateur 21 est sensé utiliser des clés de chiffrement de ‘production’. Selon un deuxième aspect, la présente invention concerne un dispositif de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, le dispositif comprenant une mémoire associée à un processeur configuré pour la mise en œuvre des étapes du procédé selon le premier aspect de la présente invention. Selon un troisième aspect, la présente invention concerne un véhicule, par exemple de type automobile, comprenant un dispositif tel que décrit ci-dessus selon le deuxième aspect de la présente invention. Selon un quatrième aspect, la présente invention concerne un programme d’ordinateur qui comporte des instructions adaptées pour l’exécution des étapes du procédé selon le premier aspect de la présente invention, ceci notamment lorsque le programme d’ordinateur est exécuté par au moins un processeur. Un tel programme d’ordinateur peut utiliser n’importe quel langage de programmation, et être sous la forme d’un code source, d’un code objet, ou d’un code intermédiaire entre un code source et un code objet, tel que dans une forme partiellement compilée, ou dans n’importe quelle autre forme souhaitable. Selon un cinquième aspect, la présente invention concerne un support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur comprenant des instructions pour l’exécution des étapes du procédé selon le premier aspect de la présente invention. D’une part, le support d’enregistrement peut être n'importe quel entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une mémoire ROM, une mémoire RAM, un CD-ROM ou une mémoire ROM de type circuit microélectronique, ou encore un moyen d'enregistrement magnétique ou un disque dur. D'autre part, ce support d’enregistrement peut également être un support transmissible tel qu'un signal électrique ou optique, un tel signal pouvant être acheminé via un câble électrique ou optique, par radio classique ou hertzienne ou par faisceau laser autodirigé ou par d'autres moyens. Le programme d’ordinateur selon la présente invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'enregistrement peut être un circuit intégré dans lequel le programme d’ordinateur est incorporé, le circuit intégré étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Brève description des figures D’autres caractéristiques et avantages de la présente invention ressortiront de la description des exemples de réalisation particuliers et non limitatifs de la présente invention ci-après, en référence aux figures 1 à 5 annexées, sur lesquelles : FIG. 1 illustre schématiquement un processus d’authentification d’un deuxième calculateur 12 auprès d’un premier calculateur 11 ; FIG. 2 illustre schématiquement un processus de détection d’un mode de fonctionnement d’un premier calculateur 21 par un deuxième calculateur 22 embarqués d’un véhicule, selon un exemple particulier et non limitatif de la présente invention ; FIG. 3 illustre schématiquement un dispositif configuré pour détecter un mode de fonctionnement d’un premier calculateur 21 par un deuxième calculateur 22 embarqués d’un véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention ; FIG. 4 illustre schématiquement la validation de la réception du premier signal 200 (deuxième opération), selon un exemple particulier et non limitatif de la présente invention ; FIG. 5 illustre un organigramme des différentes étapes d’un procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Description des exemples de réalisation Un procédé et un dispositif de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule vont maintenant être décrits dans ce qui va suivre en référence conjointement aux figures 2 à 5. Des mêmes éléments sont identifiés avec des mêmes signes de référence tout au long de la description qui va suivre. Les termes « premier(s) », « deuxième(s) » (ou « première(s) », « deuxième(s) »), etc. sont utilisés dans ce document par convention arbitraire pour permettre d’identifier et de distinguer différents éléments (tels que des opérations, des moyens, etc.) mis en œuvre dans les modes de réalisation décrits ci-après. De tels éléments peuvent être distincts ou correspondre à un seul et unique élément, selon le mode de réalisation. La FIG. 2 illustre schématiquement un processus de détection d’un mode de fonctionnement d’un premier calculateur 21 par un deuxième calculateur 22 embarqués d’un véhicule, selon un exemple particulier et non limitatif de la présente invention. Le premier calculateur 21 embarqué dans le véhicule est configuré pour recevoir un signal de commande 220 pour piloter, par exemple, un groupe motopropulseur du véhicule et le deuxième calculateur 22 embarqué dans le véhicule est configuré pour émettre un signal de commande 220 à destination du premier calculateur 21 via un bus de données par exemple de type CAN (LS, HS, FD, etc.). Le premier calculateur 21 peut faire partie d’un ensemble de premiers calculateurs embarqués dans le véhicule. Chaque premier calculateur 11 est alors configuré pour recevoir un signal de commande 220 émis par le deuxième calculateur 22 et pour mettre en œuvre la présente invention. Le deuxième calculateur 22 peut faire partie d’un ensemble de calculateurs embarqués dans le véhicule qui sont configurés pour émettre un signal de commande 220 à destination du premier calculateur 21 et pour mettre en œuvre la présente invention. Le premier calculateur 21 peut être, par exemple, un MCU, un CMM, un RMCU, un TCU, un EPLU, etc. Le deuxième calculateur 22 peut être, par exemple, VSM, BSI (Boîtier de Servitude Intelligent) ou BCM (Body Control Module, en français module de contrôle de la carrosserie) présents dans différentes générations d'architectures électroniques équipant les véhicules ou encore une unité de supervision formée, par exemple d’un ou plusieurs calculateurs embarqués ou débarqués du véhicule. Un processus de détection d’un mode de fonctionnement du premier calculateur 21 par le deuxième calculateur 22 selon la présente invention est décrit ci-dessous pour pallier les problèmes de failles de sécurité de fonctions de cybersécurité qui peuvent se produite entre le premier calculateur 11 et le deuxième calculateur 12 de la FIG. 1 . Dans une première opération, le premier calculateur 21 émet un premier signal 200 porteur d’une première donnée aléatoire 201 à destination du deuxième calculateur 22. Selon un exemple de réalisation particulier et non limitatif, le premier signal 200 est émis suite à un réveil du premier calculateur 21. Dans une deuxième opération, le deuxième calculateur 22 valide la réception du premier signal 200 émis par le premier calculateur 21. Si la réception du premier signal 200 est validée par le deuxième calculateur 22, le deuxième calculateur 22 considère que le premier calculateur 21 fonctionne selon un premier mode de fonctionnement. Si la réception du premier signal 200 n’est pas validée par le deuxième calculateur 22, le deuxième calculateur 22 considère que le premier calculateur 21 fonctionne selon un deuxième mode de fonctionnement et, dans une troisième opération, le deuxième calculateur 22 mémorise une deuxième donnée 211 indiquant que le premier calculateur 21 fonctionne selon le deuxième mode de fonctionnement. La mémorisation de la deuxième donnée 211 n’a pas d’incidence sur l’émission et la réception de signaux de commande 220 afin de ne pas pénaliser les équipes de développement du premier calculateur 21 dans leurs activités. Selon un exemple de réalisation particulier et non limitatif, la deuxième donnée 211 est mémorisée dans une mémoire du deuxième calculateur 22 ou dans une mémoire accessible par le deuxième calculateur 22 via un moyen de communication filaire ou non filaire. Selon un exemple de réalisation particulier et non limitatif, la deuxième donnée 211 est un code identifiant un problème lors d’un diagnostic tel qu’une code DTC (de l’anglais, Diagnostic Trouble Code en français code identifiant un problème lors d’un diagnostic) qui peut être conforme à la norme ISO 15031-6 Selon une variante, dans une quatrième opération, le deuxième calculateur 22 émet un deuxième signal 210 porteur de la deuxième donnée 211 à destination d’un dispositif de diagnostic distant 23 en communication avec le deuxième calculateur 22 via un réseau de communication. Selon une variante, dans une cinquième opération, le deuxième calculateur 22 reçoit un troisième signal 230 porteur d’une requête de diagnostic émis par le dispositif de diagnostic distant 23. Suite à la réception du troisième signal 230, le deuxième calculateur 22 émet le deuxième signal 210 (quatrième opération). Selon un exemple de réalisation particulier et non limitatif, le troisième signal 230 est conforme à un protocole de communication de diagnostic utilisé dans des unités de commande électroniques du véhicule. La requête peut être, par exemple, une requête UDS (de l’anglais Unified Diagnostic Services, en français services de diagnostic unifiés) tel que définie par la norme ISO 14229-1. Selon un exemple de réalisation particulier et non limitatif, le deuxième signal 210 est porteur d’une deuxième donnée 211 de type RDTCI (Report Diagnostic Trouble Code Identifier) définie par la norme ISO 14229-1. Le dispositif de diagnostic distant 23 peut par exemple être utilisé lors d’une phase d’assemblage du véhicule ou lors d’une phase de maintenance/ de service après-vente du véhicule pour s'assurer de la conformité en termes de cybersécurité du véhicule à l'issue de sa production ou de sa réparation. Le dispositif de diagnostic peut être un appareil débarqué du véhicule ou comprend au moins un calculateur embarqué du véhicule. Selon un exemple de réalisation particulier et non limitatif, le processus de la FIG. 2 peut être utilisé, par exemple pour détecter le mode de fonctionnement d’un premier calculateur 21 lorsque le premier calculateur 21 peut fonctionner selon un premier mode de fonctionnement dans lequel le deuxième calculateur 22 doit s’authentifier auprès du premier calculateur 21 préalablement à l’acceptation par le premier calculateur 21 de signaux de commande 220 émis par le deuxième calculateur 22, ou selon un deuxième mode de fonctionnement dans lequel le deuxième calculateur 22 ne doit pas s’authentifier auprès du premier calculateur 21 préalablement à l’acceptation par le premier calculateur 21 de signaux de commande 220 émis par le deuxième calculateur 22. La première donnée aléatoire 201 est alors une donnée aléatoire et la réception du premier signal 200 est validée lorsque le premier signal 200 est reçu par le deuxième calculateur 22. La réception du premier signal 200 n'est pas validée lorsque le premier signal 200 n’est pas reçu par le deuxième calculateur 22. Le processus permet à un deuxième calculateur 22 de savoir si un premier calculateur fonctionne en mode ‘production’ ou en mode ‘développement’ selon que la réception du premier signal 200 est validée ou pas par le deuxième dispositif 22. Selon un mode de réalisation particulier et non limitatif, le processus de la FIG. 2 peut également être utilisé, par exemple pour détecter le mode de fonctionnement du premier calculateur 21 lorsque le premier calculateur 21 peut fonctionner selon un premier mode de fonctionnement dans lequel le premier calculateur 21 utilise une clé de chiffrement autorisée par le deuxième calculateur 22 ou selon un deuxième mode de fonctionnement dans lequel le premier calculateur 21 n’utilise pas une clé de chiffrement autorisée par le deuxième calculateur 22. La première donnée aléatoire 201 est alors produite, par le premier calculateur 21, à partir d’une donnée non cryptée et d’une clé de chiffrement utilisée par le premier calculateur 21. La réception du premier signal 200 est alors validée par le deuxième calculateur 22 si le deuxième calculateur 22 reçoit la donnée non cryptée et la première donnée et si la première donnée aléatoire 201 a été produite par le premier calculateur 21 à partir d’une clé de chiffrement autorisée par le deuxième calculateur 22. La réception du premier signal 200 n’est pas validée par le deuxième calculateur 22 si la première donnée aléatoire 201 a été produite par le premier calculateur 21 à partir d’une clé de chiffrement qui n’est pas autorisée par le deuxième calculateur 22. La FIG. 3 illustre schématiquement la validation de la réception du premier signal 200 (deuxième opération) selon un exemple particulier et non limitatif de la présente invention. Dans une première sous-opération, le deuxième calculateur 22 émet un quatrième signal 240 porteur d’un nombre aléatoire et d’une requête de calcul de la première donnée aléatoire 201 à partir du nombre aléatoire et d’une clé de chiffrement utilisée par le premier calculateur 21, à destination du premier calculateur 21. Dans une deuxième sous-opération, le premier calculateur 21 calcule la première données aléatoire 201 à partir du nombre aléatoire porté par le quatrième signal 240 et d’une clé de chiffrement utilisée par le premier calculateur 21 et, dans une troisième sous-opération, le premier calculateur 21 émet le premier signal 200 porteur de la première donnée aléatoire 201 à destination du deuxième calculateur 22. Dans une quatrième sous-opérations, le deuxième calculateur 22 calcule une donnée d’authentification à partir du nombre aléatoire et d’une clé de chiffrement qu’il utilise et, dans une cinquième sous-opération, le deuxième calculateur 22 compare la première donnée aléatoire 201 portée par le premier signal 200 émis par le premier calculateur 21 et reçu et la donnée d’authentification qu’il vient de calculer. Si la première donnée aléatoire 201 est identique à la donnée d’authentification alors le premier calculateur 21 utilise une clé de chiffrement autorisée par le deuxième calculateur 22 et la réception du premier signal est validée. sinon, le premier calculateur 21 n’utilise pas une clé de chiffrement autorisée par le deuxième calculateur 22 et la réception du premier signal n’est pas validée. Le deuxième calculateur 22 peut être une unité de supervision formée, par exemple d’un ou plusieurs calculateurs embarqués ou débarqués du véhicule. La FIG. 4 illustre schématiquement un dispositif 3 configuré pour détecter un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Le dispositif 3 correspond par exemple à un dispositif embarqué dans le véhicule, par exemple un calculateur. Selon un mode de réalisation particulier, le dispositif 3 correspond à un dispositif de communication mobile tel que le dispositif 100. Le dispositif 3 est par exemple configuré pour la mise en œuvre des opérations décrites en regard des figures 2 et 3 et/ou des étapes du procédé décrit en regard de la FIG. 5 . Des exemples d’un tel dispositif 3 comprennent, sans y être limités, un équipement électronique embarqué tel qu’un ordinateur de bord d’un véhicule, un calculateur électronique tel qu’une UCE (« Unité de Commande Electronique »), un téléphone intelligent, une tablette, un ordinateur portable. Les éléments du dispositif 3, individuellement ou en combinaison, peuvent être intégrés dans un unique circuit intégré, dans plusieurs circuits intégrés, et/ou dans des composants discrets. Le dispositif 3 peut être réalisé sous la forme de circuits électroniques ou de modules logiciels (ou informatiques) ou encore d’une combinaison de circuits électroniques et de modules logiciels. Le dispositif 3 comprend un (ou plusieurs) processeur(s) 30 configurés pour exécuter des instructions pour la réalisation des étapes du procédé et/ou pour l’exécution des instructions du ou des logiciels embarqués dans le dispositif 3. Le processeur 30 peut inclure de la mémoire intégrée, une interface d’entrée/sortie, et différents circuits connus de l’homme du métier. Le dispositif 3 comprend en outre au moins une mémoire 31 correspondant par exemple à une mémoire volatile et/ou non volatile et/ou comprend un dispositif de stockage mémoire qui peut comprendre de la mémoire volatile et/ou non volatile, telle que EEPROM, ROM, PROM, RAM, DRAM, SRAM, flash, disque magnétique ou optique. Le code informatique du ou des logiciels embarqués comprenant les instructions à charger et exécuter par le processeur est par exemple stocké sur la mémoire 31. Selon différents exemples de réalisation particuliers et non limitatifs, le dispositif 3 est couplé en communication avec d’autres dispositifs ou systèmes similaires et/ou avec des dispositifs de communication, par exemple une TCU (de l’anglais « Telematic Control Unit » ou en français « Unité de Contrôle Télématique »), par exemple par l’intermédiaire d’un bus de communication ou au travers de ports d’entrée / sortie dédiés. Selon un exemple de réalisation particulier et non limitatif, le dispositif 3 comprend un bloc 32 d’éléments d’interface pour communiquer avec des dispositifs externes, par exemple un serveur distant ou un dispositif de diagnostic, d’autres nœuds du réseau ad hoc. Les éléments d’interface du bloc 32 comprennent une ou plusieurs des interfaces suivantes : - interface radiofréquence RF, par exemple de type Wi-Fi® (selon IEEE 802.11), par exemple dans les bandes de fréquence à 2,4 ou 5 GHz, ou de type Bluetooth® (selon IEEE 802.15.1), dans la bande de fréquence à 2,4 GHz, ou de type Sigfox utilisant une technologie radio UBN (de l’anglais Ultra Narrow Band, en français bande ultra étroite), ou LoRa dans la bande de fréquence 868 MHz, LTE (de l’anglais « Long-Term Evolution » ou en français « Evolution à long terme »), LTE-Advanced (ou en français LTE-avancé) ; - interface USB (de l’anglais « Universal Serial Bus » ou « Bus Universel en Série » en français) ; - interface HDMI (de l’anglais « High Definition Multimedia Interface », ou « Interface Multimedia Haute Definition » en français) ; - interface LIN (de l’anglais « Local Interconnect Network », ou en français « Réseau interconnecté local »). Selon un autre exemple de réalisation particulier et non limitatif, le dispositif 3 comprend une interface de communication 33 qui permet d’établir une communication avec d’autres dispositifs (tels que d’autres calculateurs embarqué du véhicule) via un canal de communication 331. L’interface de communication 33 correspond par exemple à un transmetteur configuré pour transmettre et recevoir des informations et/ou des données via le canal de communication 331. L’interface de communication 33 correspond par exemple à un réseau filaire de type CAN, FlexRay (standardisé par la norme ISO 17458) ou Ethernet (standardisé par la norme ISO/IEC 802-3). Selon un exemple de réalisation particulier et non limitatif, le dispositif 3 peut fournir des signaux de sortie à un ou plusieurs dispositifs externes, tels qu’un écran d’affichage 34, tactile ou non, un ou des haut-parleurs 35 et/ou d’autres périphériques 36 via respectivement des interfaces de sortie 37, 38, 39. Selon une variante, l’un ou l’autre des dispositifs externes est intégré au dispositif 3. La FIG. 5 illustre un organigramme des différentes étapes d’un procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, selon un exemple de réalisation particulier et non limitatif de la présente invention. Le procédé est par exemple mis en œuvre par un dispositif embarqué dans le véhicule ou par le dispositif 3 de la FIG. 4 . Dans une première étape 41, le premier calculateur émet un premier signal porteur d’une première donnée à destination du deuxième calculateur. Dans une deuxième étape 42, le deuxième calculateur valide la réception du premier signal émis par le premier calculateur. Si la réception du premier signal 200 est validée par le deuxième calculateur 22, le deuxième calculateur 22 considère que le premier calculateur 21 fonctionne selon un premier mode de fonctionnement. Si la réception du premier signal n’est pas validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un deuxième mode de fonctionnement et, dans une troisième étape 43, le deuxième calculateur mémorise une deuxième donnée indiquant que le premier calculateur fonctionne selon le deuxième mode de fonctionnement. Selon un exemple de réalisation particulier et non limitatif, la validation (étape 42) de la réception du premier signal comporte les sous-étapes suivantes : - émission, par le deuxième calculateur, d’un quatrième signal porteur d’un nombre aléatoire et d’une requête de calcul de la première donnée à partir du nombre aléatoire et d’une clé de chiffrement utilisée par le premier calculateur, à destination du premier calculateur ; - calcul de la première donnée par le premier calculateur, à partir du nombre aléatoire porté par le quatrième signal et d’une clé de chiffrement utilisée par le premier calculateur ; - émission, par le premier calculateur, du premier signal porteur de la première donnée à destination du deuxième calculateur ; - calcul, par le deuxième calculateur, d’une donnée d’authentification à partir du nombre aléatoire et d’une clé de chiffrement qu’il utilise ; - comparaison, par le deuxième calculateur, de la première donnée portée par le premier signal émis par le premier calculateur et reçu et la donnée d’authentification calculée par le deuxième calculateur ; - si la première donnée est identique à la donnée d’authentification alors la réception du premier signal est validée ; -sinon, la réception du premier signal n’est pas validée. Selon une variante, les variantes et exemples des opérations décrits en relation avec les figures 2 et 3 s’appliquent aux étapes du procédé de la FIG. 5 . Bien entendu, la présente invention ne se limite pas aux exemples de réalisation décrits ci-avant mais s’étend à un procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule qui inclurait des étapes secondaires sans pour cela sortir de la portée de la présente invention. Il en serait de même d’un dispositif configuré pour la mise en œuvre d’un tel procédé. La présente invention concerne également un véhicule, par exemple automobile ou plus généralement un véhicule autonome à moteur terrestre, comprenant le dispositif 3 de la FIG. 4 . Procédé de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur, le premier et le deuxième calculateur étant embarqués dans un véhicule, ledit procédé comprenant les étapes suivantes : émission (41), par le premier calculateur, d’un premier signal porteur d’une première donnée aléatoire à destination du deuxième calculateur ; validation (42), par le deuxième calculateur, d’une réception du premier signal émis par le premier calculateur ; si la réception du premier signal est validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un premier mode de fonctionnement ; si la réception du premier signal n’est pas validée par le deuxième calculateur, le deuxième calculateur considère que le premier calculateur fonctionne selon un deuxième mode de fonctionnement et, mémorisation (43), par le deuxième calculateur, d’une deuxième donnée indiquant que le premier calculateur fonctionne selon le deuxième mode de fonctionnement. Procédé selon la revendication 1, qui comporte en outre une étape (44) d’émission d’un deuxième signal porteur de la deuxième donnée par le deuxième calculateur à destination d’un dispositif de diagnostic distant en communication avec le deuxième calculateur via un réseau de communication. Procédé selon la revendication 2, qui comporte en outre une étape (45) de réception, par le deuxième calculateur, d’un troisième signal porteur d’une requête de diagnostic émis par le dispositif de diagnostic distant et, suite à la réception du troisième signal, le deuxième calculateur émet le deuxième signal (44). Procédé selon l’une des revendications 1 à 3, dans lequel la première donnée est une donnée aléatoire et la réception du premier signal est validée lorsque le premier signal est reçu par le deuxième calculateur ; le premier calculateur fonctionnant selon le premier mode de fonctionnement lorsque le deuxième calculateur doit s’authentifier auprès du premier calculateur préalablement à l’acceptation par le premier calculateur de signaux de commande émis par le deuxième calculateur ; le premier calculateur fonctionnant selon le deuxième mode de fonctionnement lorsque le deuxième calculateur ne doit pas s’authentifier auprès du premier calculateur préalablement à l’acceptation par le premier calculateur de signaux de commande émis par le deuxième calculateur. Procédé selon l’une des revendications 1 à 3, dans lequel la première donnée est produite, par le premier calculateur, à partir d’une donnée non cryptée et d’une clé de chiffrement utilisée par le premier calculateur, la réception du premier signal est alors validée par le deuxième calculateur si le deuxième calculateur reçoit la donnée non cryptée et la première donnée et si la première donnée a été produite par le premier calculateur à partir d’une clé de chiffrement autorisée par le deuxième calculateur ; le premier calculateur fonctionnant selon le premier mode de fonctionnement lorsque le premier calculateur utilise une clé de chiffrement autorisée par le deuxième dispositif ; le premier calculateur fonctionnant selon le deuxième mode de fonctionnement lorsque le premier calculateur n’utilise pas une clé de chiffrement autorisée par le deuxième dispositif. Procédé selon la revendication 5, dans lequel la validation (42) de la réception du premier signal comporte les sous-étapes suivantes : - émission, par le deuxième calculateur, d’un quatrième signal porteur d’un nombre aléatoire et d’une requête de calcul de la première donnée à partir du nombre aléatoire et d’une clé de chiffrement utilisée par le premier calculateur, à destination du premier calculateur ; - calcul de la première donnée par le premier calculateur, à partir du nombre aléatoire porté par le quatrième signal et d’une clé de chiffrement utilisée par le premier calculateur ; - émission, par le premier calculateur, du premier signal porteur de la première donnée à destination du deuxième calculateur ; - calcul, par le deuxième calculateur, d’une donnée d’authentification à partir du nombre aléatoire et d’une clé de chiffrement qu’il utilise ; - comparaison, par le deuxième calculateur, de la première donnée portée par le premier signal émis par le premier calculateur et reçu et la donnée d’authentification calculée par le deuxième calculateur ; - si la première donnée est identique à la donnée d’authentification alors la réception du premier signal est validée ; -sinon, la réception du premier signal n’est pas validée. Dispositif de détection d’un mode de fonctionnement d’un premier calculateur par un deuxième calculateur embarqués d’un véhicule, le dispositif comprenant une mémoire associée à un processeur configuré pour la mise en œuvre des étapes du procédé selon l’une des revendications 1 à 6. Programme d’ordinateur comportant des instructions pour la mise en œuvre du procédé selon l’une quelconque des revendications 1 à 6, lorsque ces instructions sont exécutées par un processeur. Support d’enregistrement lisible par un ordinateur sur lequel est enregistré un programme d’ordinateur comprenant des instructions pour l’exécution des étapes du procédé selon l’une quelconque des revendications 1 à 6. Véhicule comprenant un dispositif selon la revendication 7.