Brevet FR3157309A1 — publié le 20250627

Dispositif anti-intrusion pour système embarqué, notamment intégré dans un véhicule motorisé Dispositif anti-intrusion destiné à être intégré dans un système embarqué, notamment dans une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé, le dispositif comportant un élément d’émission d’ondes ultrasonores, le dispositif comportant ou étant relié à une unité de commande configurée pour recevoir un signal résultant de l’émission des ondes ultrasonores par ledit élément et pour le comparer à un signal de référence afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Figure pour l’abrégé : Fig. 1 Dispositif anti-intrusion pour système embarqué, notamment intégré dans un véhicule motorisé La présente invention concerne un dispositif anti-intrusion destiné à être intégré dans un système embarqué, notamment dans une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé. Les véhicules modernes comprennent des unités de contrôle électroniques (ECU) contenant des processeurs de calcul de plus en plus complexes et puissants, et des mémoires stockant des informations « DATA » de plus en plus confidentielles, telles que des données utilisateurs sous RGPD, des algorithmes et systèmes avancés d'aide à la conduite sous propriété intellectuelle, des clés de sécurité pour le diagnostic ou les mises à jour à distance. Une telle unité de contrôle électronique « A » est représentée à la FIG. 1 . Elle comporte des circuits imprimés « CI », des connecteurs « CO » de circuits imprimés, des composants électroniques « B », des bus internes « C », un boîtier « D » et une interface externe « E ». Un attaquant ayant un accès physique au système, placé dans le véhicule ou extrait du véhicule, peut l’attaquer de plusieurs manières. Il peut supprimer ou couper le boitier mécanique. Il peut avoir accès à des informations confidentielles stockées sur la puce électronique en utilisant une attaque invasive sur le silicone. L’attaquant peut écouter et/ou falsifier les signaux et bus internes. Il peut remplacer la puce authentique avec une mauvaise puce pour déclencher un comportement malveillant. Les véhicules intègrent déjà des mécanismes pour les protéger contre les attaques provenant du réseau interne, ou d’éléments externes, dit « offboard », par exemple des mécanismes de Gateway, Proxy, ou d’un système de type « VLAN », pour réseau local virtuel. Cependant, les attaquants avec de gros moyens financiers peuvent réaliser des attaques physiques sur les cartes électroniques et leurs semi-conducteurs, et réussir à récupérer différentes données. Ces attaquants peuvent récupérer directement des informations confidentielles, par exemple stockées dans les mémoires contenant un mot de passe à usage unique, dont l’acronyme anglais est « OTP » du semiconducteur, c’est-à-dire les fusibles, permettant le déchiffrement de données normalement sécurisées (données utilisateurs, firmwares), ou d’amplifier leurs attaques à tout un parc de véhicule (récupération d’une clé MAC non diversifiée utilisée pour la mise à jour, le déverrouillage de fonctionnalités de debug, d’inviolabilité). Ils peuvent aussi récupérer des informations non directement confidentielles, mais qui permettent de comprendre le fonctionnement du système et améliorer la connaissance de l’attaquant, puis lui permettre de généraliser son attaque à tous les véhicules après le démontage d’un seul ECU. Ces modes d’attaques sont aujourd’hui partiellement résolus par des semiconducteurs rendus plus robustes avec des systèmes complémentaires tels le Secure Storage, RPMB, ou les HSM intégrés, mais la problématique n’est pas complètement résolue, les attaquants pouvant généralement relire les mémoires OTP par des attaques physiques. Il reste toujours possible à l’attaquant d’enlever ou couper le boitier mécanique « D » pour avoir un accès physique « AP », de sorte qu’il accède à des informations confidentielles : - en utilisant des attaques invasives « AI » sur le silicium stockées sur la puce du composant électronique « B », et/ou - en interceptant ou falsifiant « IF » des signaux ou bus internes « C », et/ou - remplaçant la puce authentique avec une puce parasitaire « PP » pour déclencher un comportement malfaisant. Les méthodes connues se concentrent toujours sur les contre-mesures au niveau du semi-conducteur, notamment sur les couches de métallisation, avec des mesures de tensions ou capacitives, des micro-mesh, mais ne permettent pas de protéger une carte électronique complète, ni les interfaces entre plusieurs semi-conducteurs. D’autres méthodes connues mettent en œuvre des techniques du type « interrupteur anti-intrusion » (anti-tamper switch, infrarouge, capteurs de pression, capteurs capacitifs), ou utilisent une illumination infrarouge lorsqu’un boîtier est étanche à la lumière. Ces dispositifs sont moins robustes, un attaquant pouvant les contourner très simplement après passage aux rayons X du système protégé. Des techniques se sont également développées dans le domaine des radiofréquences, mais consomment beaucoup d’énergie électrique et nécessitent des volumes et des modifications importantes sur les systèmes, notamment par l’ajout d’une cage de Faraday, ne permettant ainsi pas un fonctionnement adapté à un système embarqué sur un véhicule. Il existe ainsi un besoin pour perfectionner encore les moyens pour assurer l’intégrité des systèmes embarqués, notamment des unités de contrôle électroniques intégrées dans un véhicule motorisé. Dispositif anti-intrusion La présente invention répond à ce besoin grâce à, selon l’un de ses aspects, un dispositif anti-intrusion destiné à être intégré dans un système embarqué, notamment dans une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé, le dispositif comportant un élément d’émission d’ondes ultrasonores, le dispositif comportant ou étant relié à une unité de commande configurée pour recevoir un signal résultant de l’émission des ondes ultrasonores par ledit élément et pour le comparer à un signal de référence afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Grâce à l’invention, des intrusions physiques sur les calculateurs du véhicule peuvent être empêchées. L’invention permet de protéger une carte électronique complète, ainsi que les interfaces entre plusieurs semi-conducteurs. Lorsque l’attaquant réalise un perçage ou toute autre modification mécanique, les ondes transmises sont modifiées par rapport à leur état de référence, à cause d’interférences destructives ou constructives, ou de réflexion. Le signal reçu est modifié, des techniques de corrélation croisée ou d’intelligence artificielle permettent de détecter cette rupture d’intégrité. L’invention permet la protection d’un système embarqué complet, c’est-à-dire une carte électronique dans son boîtier, avec ses semiconducteurs, contre les attaques physiques de rétroingénierie, par un mécanisme actif capable de détruire l’information confidentielle si une intrusion est détectée dans le boîtier, ou a minima de pouvoir déterminer à un instant donné si le système a toute son intégrité ou s’il a pu être rendu non-intègre dans son cycle de vie, notamment par une tentative de démontage. Contrairement aux méthodes connues dites « anti- tampering », qui peuvent être facilement contournés dès lors que l’attaquant a connaissance du mécanisme, l’invention n’est pas contournable par un attaquant, car les propriétés mécaniques des matériaux et le caractère non-déterministe du signal ne permet pas à l’attaquant de le reproduire. L’invention laisse très peu de marge de manœuvre à l’attaquant, même s’il a une connaissance préalable d’un système identique. Elément d’émission Dans un mode de réalisation préféré, l’élément d’émission d’ondes ultrasonores est un transducteur configuré pour émettre des ondes ultrasonores, étant notamment un transducteur piézoélectrique, notamment de type céramique PZT. Dans un premier mode de réalisation, ledit transducteur est configuré pour émettre des ondes ultrasonores dans au moins une partie du matériau qui constitue le boîtier du dispositif. Les ondes se propagent avantageusement sous la forme d’ondes de surface, dites « ondes de Lamb », dans le matériau. Ce mode de réalisation se fonde sur la transmission mécanique dans le matériau du boîtier du dispositif, par exemple du plastique ABS ou de l’aluminium. Il offre une solution plus robuste mais plus cher, avec un couplage plus difficile avec l’élément d’émission des ondes ultrasonores. Le dispositif peut être configuré de sorte que la fréquence de réception des ondes ultrasonores soit déterminée en fonction au moins dudit matériau et/ou d’une plage de température prédéfinie. Dans ce mode de réalisation, ledit transducteur est avantageusement configuré en outre pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande. Dans une variante, le dispositif peut comporter en outre un élément de réception configuré pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande, ledit élément de réception étant notamment un transducteur Dans un deuxième mode de réalisation, ledit transducteur est configuré pour émettre des ondes ultrasonores à l’intérieur de l’espace défini par le boitier du système embarqué, les ondes étant émises notamment dans l’air ou le gaz présent dans ledit espace. Dans ce mode de réalisation, le dispositif est configuré de sorte que les ondes ultrasonores se propagent à une fréquence comprise entre 30 kHz et 50 kHz, étant notamment égale à 40 kHz. Ledit transducteur est avantageusement configuré en outre pour recevoir les ondes ultrasonores après leur propagation à l’intérieur de l’espace défini par le boitier du système embarqué et pour émettre ledit signal résultant reçu par l’unité de commande. Ce mode de réalisation utilise la propagation des ondes par transmission acoustique dans l’air ou le gaz enfermé dans le boîtier du système, et qui contient la carte électronique. Cela constitue une solution à plus faible coût, mais non adaptée à toutes les mécaniques, notamment due à la difficulté d’intégration dans des boîtiers très compacts, et moins robuste. Les ondes ultrasonores se réfléchissent avantageusement sur les parois du boîtier, les circuits imprimés, les connecteurs, les fixations, interagissent entre-elles sous forme d’interférences constructives ou destructives, puis reviennent à leur point de départ au niveau du transducteur. Le signal reçu au transducteur dépend ainsi de la géométrie des éléments à l’intérieur du boîtier, et de la géométrie même du boîtier. Dès lors qu’une intrusion est effectuée, par exemple par le perçage du boîtier, le retrait d’un capot, l’insertion d’une sonde, cette géométrie est modifiée, et une rupture de l’intégrité mécanique est donc détectée par traitement du signal qui revient au transducteur. Unités de commande et de contrôle L’élément d’émission d’ondes ultrasonores peut comporter ou être relié à une unité de contrôle configurée pour envoyer un train d’ondes, notamment des impulsions gaussiennes, notamment des impulsions d’une durée prédéfinie, notamment à des intervalles prédéfinis ou définis de façon aléatoire. Cela permet de réduire considérablement la quantité d’énergie requise au dispositif. Les impulsions peuvent être modulées par des informations aléatoires. Cela permet d’augmenter la robustesse du dispositif anti-intrusion. Ladite unité de contrôle peut être auto-alimentée par une source d’énergie autonome interne au dispositif, notamment une pile. Dans une variante, le dispositif est configuré pour effacer toute information confidentielle si la source d’alimentation externe est retirée. L’unité de commande est avantageusement configurée pour comparer le signal résultant de l’émission des ondes ultrasonores à un signal de référence en mettant en œuvre des techniques de traitement du signal, notamment la corrélation croisée, des techniques de corrélation temporelle, de statistiques robustes ou d’intelligence artificielle. Cela permet de détecter des différences dans le signal, qui signifient qu’il y a eu une rupture d’intégrité du milieu contrôle, c’est-à-dire le boîtier qui entoure le système embarqué dans le premier mode de réalisation, ou l’air ou le gaz qui entoure les cartes électroniques dans le deuxième mode de réalisation. Cela signifie qu’un attaquant a ouvert le boîtier, ou inséré une sonde par un petit orifice, ou a considérablement déformé le boîtier pour accéder à l’électronique. L’unité de commande peut comporter un circuit prédiffusé programmable (FPGA ou « Field Programmable Gate Array »), un circuit complexe programmable (CPLD ou Complex Programmable Logic Device), un semiconducteur, notamment un circuit intégré propre à une application (ASIC ou Application-Specific Integrated Circuit), un microcontrôleur, ou un DSP ou microcontrôleur de traitement du signal. L‘unité de commande peut être configurée pour transmettre à au moins un système externe relié au dispositif l’information de détection de la rupture éventuelle de l’intégrité du système embarqué. Ces systèmes externes peuvent déclencher des actions, telles notamment l’envoi d’une notification, l’enregistrement d’un code d’erreur, la suppression de clés de sécurité ou d’informations confidentielles. L’unité de commande peut être configurée pour recevoir des signaux de référence résultant de l’émission des ondes ultrasonores par ledit élément d’émission afin de réaliser la calibration du dispositif, lesdits signaux de référence étant notamment stockés dans une mémoire non-volatile du dispositif. Le dispositif nécessite avantageusement une calibration à son démarrage, ainsi qu’une recalibration régulière, par exemple si le matériau se comporte très différemment lorsque les températures vont vers les extrêmes. La calibration peut se faire en environnement contrôlé, notamment en usine, ou bien à des intervalles prédéfinis durant le cycle de vie du dispositif, notamment toutes les 24h. Lorsqu’une rupture d’intégrité est détectée, différentes actions peuvent être effectuées. Si le système est alimenté par l’extérieur, les informations confidentielles peuvent être effacées dès lors que l’alimentation électrique est perdue, ou qu’une rupture d’intégrité est détectée par le dispositif anti-intrusion. Si le système est alimenté de manière autonome, notamment par pile ou batterie, la rupture d’intégrité peut déclencher diverses actions : passage dans un mode spécifique du système, notamment verrouillage, effacement des informations confidentielles, remplacement des informations confidentielles par un pot-de-miel dit « honeypot » en anglais, auto-protection des entrées/sorties du système, notamment la désactivation de toutes les interfaces des puces électroniques. Le système peut en outre enregistrer des informations pour reporter plus tard un incident, notamment une tentative de démontage du système embarqué à un centre des opérations de sécurité, dit « Security Operations Center » en anglais. L’unité de commande du dispositif qui réalise le traitement du signal peut être la « racine de confiance » de l’intégrité dans le système complet, par exemple en faisant en sorte que l’unité de commande stocke elle-même les informations confidentielles plutôt que les stocker dans les autres processeurs du système. Si l’unité de commande comporte un élément dit « secure element », notamment un microcontrôleur avec des garanties supplémentaires de sécurité, comme une certification CC EAL7, la robustesse du dispositif s’en trouve ainsi améliorée. Procédé de détection Selon un autre de ses aspects, l’invention porte sur un procédé de détection de la rupture de l’intégrité d’un système embarqué, notamment une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé, le procédé utilisant un dispositif anti-intrusion selon l’une quelconque des revendications précédentes et comportant au moins les étapes suivantes : recevoir un signal résultant de l’émission d’ondes ultrasonores par l’élément d’émission du dispositif, et comparer ledit signal à un signal de référence afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Les caractéristiques énoncées en relation avec le dispositif s’appliquent au procédé et vice-versa. Véhicule automobile Selon un autre de ses aspects, l’invention porte sur un véhicule automobile comprenant un groupe motopropulseur et au moins une unité de contrôle électronique comprenant un dispositif anti-intrusion selon l’invention. Les caractéristiques énoncées en relation avec le dispositif s’appliquent au véhicule et vice-versa. L’invention pourra être mieux comprise à la lecture de la description détaillée qui va suivre, d’un exemple de mise en œuvre non limitatif de celle-ci, et à l’examen du dessin annexé, sur lequel FIG. 1 la FIG. 1 , déjà décrite, représente un système embarqué selon l’art antérieur, FIG. 2 la FIG. 2 , déjà décrite, représente un système embarqué selon l’art antérieur qui subit des attaques, FIG. 3 la FIG. 3 représente un premier mode de réalisation du dispositif selon l’invention, FIG. 4 la FIG. 4 représente le dispositif de la FIG. 3 en cas d’attaque, FIG. 5 la FIG. 5 représente un deuxième mode de réalisation du dispositif selon l’invention, et FIG. 6 la FIG. 6 représente le dispositif de la FIG. 5 en cas d’attaque. Description détaillée On a représenté à la FIG. 3 un dispositif anti-intrusion selon un premier mode de réalisation de l’invention, intégré dans une unité de contrôle électronique, elle-même intégrée dans un véhicule motorisé. Le dispositif 1 comporte un élément d’émission d’ondes ultrasonores 2, un transducteur dans l’exemple considéré, notamment un transducteur piézoélectrique, notamment de type céramique PZT. Le dispositif 1 comporte ou est relié à une unité de commande 3 configurée pour recevoir un signal résultant « SRE » de l’émission des ondes ultrasonores par le transducteur et pour le comparer à un signal de référence « SRF » afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Dans l’exemple considéré, le transducteur 2 comporte ou est relié à une unité de contrôle configurée pour envoyer un train d’ondes, notamment des impulsions gaussiennes. L’unité de commande est configurée pour comparer le signal résultant de l’émission des ondes ultrasonores à un signal de référence en mettant en œuvre des techniques de traitement du signal, notamment la corrélation croisée, des techniques de corrélation temporelle, de statistiques robustes ou d’intelligence artificielle. Dans ce premier mode de réalisation, comme visible à la FIG. 3 , le transducteur 2 est configuré pour émettre des ondes ultrasonores dans au moins une partie du matériau qui constitue le boîtier 4 du dispositif 1. Le dispositif 1 selon l’invention est configuré de sorte que la fréquence de réception des ondes ultrasonores soit déterminée en fonction au moins dudit matériau et/ou d’une plage de température prédéfinie. Dans l’exemple illustré, le transducteur 2 est configuré en outre pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande 3. Dans une variante non représentée, le dispositif 1 peut comporter en outre un élément de réception configuré pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande, ledit élément de réception étant par exemple un transducteur. Comme visible à la FIG. 4 , dès lors qu’une intrusion « INT » est effectuée, par exemple par le perçage du boîtier 4, le retrait d’un capot, l’insertion d’une sonde, la géométrie des ondes ultrasonores est modifiée, et une rupture « RUPT » de l’intégrité mécanique est donc détectée par traitement du signal « SREm » qui revient au transducteur 2. L‘unité de commande 3 est avantageusement configurée pour transmettre à au moins un système externe relié au dispositif 1 l’information de détection de la rupture éventuelle de l’intégrité du système embarqué. Dans le deuxième mode de réalisation illustré à la FIG. 5 , le transducteur 2 est configuré pour émettre des ondes ultrasonores « ONDES » à l’intérieur de l’espace 5 défini par le boitier 4 du système embarqué, les ondes étant émises dans l’air ou le gaz présent dans ledit espace 5. Dans cet exemple, le dispositif est configuré de sorte que les ondes ultrasonores se propagent à une fréquence comprise entre 30 kHz et 50 kHz, étant notamment égale à 40 kHz. Le transducteur 2 est configuré en outre pour recevoir les ondes ultrasonores après leur propagation à l’intérieur de l’espace 5 défini par le boitier 4 du système embarqué et pour émettre ledit signal résultant reçu par l’unité de commande 3. Les ondes ultrasonores se réfléchissent sur les parois du boîtier 4, les circuits imprimés, les connecteurs, les fixations, interagissent entre-elles sous forme d’interférences constructives ou destructives, puis reviennent à leur point de départ au niveau du transducteur 2. Le signal reçu au transducteur 2 dépend ainsi de la géométrie des éléments à l’intérieur du boîtier 4, et de la géométrie même du boîtier. Dans le cas d’une attaque, comme représenté à la FIG. 6 , dès lors qu’une intrusion « INT » est effectuée, par exemple par le perçage du boîtier 4, le retrait d’un capot, l’insertion d’une sonde, cette géométrie est modifiée, et une rupture de l’intégrité mécanique est donc détectée par traitement du signal qui revient au transducteur 2. L’invention n’est pas limitée aux exemples qui viennent d’être décrits. En particulier, d’autres éléments d’émission d’ondes ultrasonores peuvent être utilisés. L’invention peut être mise en œuvre dans des systèmes embarqués non intégrés à un véhicule automobile, dans des solutions dites « offboard ». L’invention peut être utilisée dans l’industrie aéronautique ou ferroviaire, pour des applications très différentes, notamment pour le contrôle non destructif (« Non-Destructive Testing ») des structures, telles que les ailes d’avion ou les rails de chemin de fer, afin de détecter des défauts dans les matériaux, qui peuvent provoquer des dommages ou accidents. Dispositif anti-intrusion (1) destiné à être intégré dans un système embarqué, notamment dans une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé, le dispositif comportant un élément d’émission d’ondes ultrasonores (2), le dispositif étant caractérisé en ce qu’il comporte ou est relié à une unité de commande (3) configurée pour recevoir un signal résultant de l’émission des ondes ultrasonores par ledit élément (2) et pour le comparer à un signal de référence afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Dispositif selon la revendication 1, dans lequel l’élément d’émission d’ondes ultrasonores (2) est un transducteur configuré pour émettre des ondes ultrasonores, étant notamment un transducteur piézoélectrique, notamment de type céramique PZT. Dispositif selon la revendication 2, dans lequel ledit transducteur (2) est configuré pour émettre des ondes ultrasonores dans au moins une partie du matériau qui constitue le boîtier (4) du dispositif (1). Dispositif selon la revendication précédente, configuré de sorte que la fréquence de réception des ondes ultrasonores soit déterminée en fonction au moins dudit matériau et/ou d’une plage de température prédéfinie. Dispositif selon l’une quelconque des revendications 3 ou 4, dans lequel ledit transducteur (2) est configuré en outre pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande (3). Dispositif selon l’une quelconque des revendications 3 ou 4, comportant en outre un élément de réception configuré pour recevoir les ondes ultrasonores après leur propagation dans le matériau et pour émettre ledit signal résultant reçu par l’unité de commande (3), ledit élément de réception étant notamment un transducteur. Dispositif selon la revendication 2, dans lequel ledit transducteur (2) est configuré pour émettre des ondes ultrasonores à l’intérieur de l’espace (5) défini par le boitier (4) du système embarqué, les ondes étant émises notamment dans l’air ou le gaz présent dans ledit espace (4). Dispositif selon la revendication précédente, configuré de sorte que les ondes ultrasonores se propagent à une fréquence comprise entre 30 kHz et 50 kHz, étant notamment égale à 40 kHz. Dispositif selon l’une quelconque des revendications 7 ou 8, dans lequel ledit transducteur (2) est configuré en outre pour recevoir les ondes ultrasonores après leur propagation à l’intérieur de l’espace (5) défini par le boitier (4) du système embarqué et pour émettre ledit signal résultant reçu par l’unité de commande (3). Dispositif selon l’une quelconque des revendications précédentes, dans lequel l’élément d’émission d’ondes ultrasonores (2) comporte ou est relié à une unité de contrôle configurée pour envoyer un train d’ondes, notamment des impulsions gaussiennes, notamment des impulsions d’une durée prédéfinie, notamment à des intervalles prédéfinis ou définis de façon aléatoire. Dispositif selon la revendication précédente, dans lequel ladite unité de contrôle est auto-alimentée par une source d’énergie autonome interne au dispositif (1), notamment une pile. Dispositif selon l’une quelconque des revendications précédentes, dans lequel l’unité de commande (3) est configurée pour comparer le signal résultant de l’émission des ondes ultrasonores à un signal de référence en mettant en œuvre des techniques de traitement du signal, notamment la corrélation croisée, des techniques de corrélation temporelle, de statistiques robustes ou d’intelligence artificielle. Dispositif selon l’une quelconque des revendications précédentes, dans lequel l’unité de commande (3) comporte un circuit prédiffusé programmable, un circuit complexe programmable, un semiconducteur, notamment un circuit intégré propre à une application, un microcontrôleur, ou un microcontrôleur de traitement du signal. Dispositif selon l’une quelconque des revendications précédentes, dans lequel l‘unité de commande (3) est configurée pour transmettre à au moins un système externe relié au dispositif (1), l’information de détection de la rupture éventuelle de l’intégrité du système embarqué. Dispositif selon l’une quelconque des revendications précédentes, dans lequel l’unité de commande (3) est configurée pour recevoir des signaux de référence résultant de l’émission des ondes ultrasonores par ledit élément d’émission (2) afin de réaliser la calibration du dispositif (1), lesdits signaux de référence étant notamment stockés dans une mémoire non-volatile du dispositif (1). Procédé de détection de la rupture de l’intégrité d’un système embarqué, notamment une unité de contrôle électronique, le système embarqué étant notamment intégré dans un véhicule motorisé, le procédé utilisant un dispositif anti-intrusion (1) selon l’une quelconque des revendications précédentes et étant caractérisé en ce qu’il comporte au moins les étapes suivantes : recevoir un signal résultant de l’émission d’ondes ultrasonores par l’élément d’émission (2) du dispositif (1), et comparer ledit signal à un signal de référence afin de détecter une rupture éventuelle de l’intégrité du système embarqué. Véhicule automobile comprenant un groupe motopropulseur et au moins une unité de contrôle électronique comprenant un dispositif anti-intrusion (1) selon l’une quelconque des revendications 1 à 15.