FR 2775363 A1 19990827 FR 9802357 A 19980226 La présente invention concerne un calculateur de pi- lotage du fonctionnement d'un organe fonctionnel de véhicule automobile. Plus particulièrement, l'invention se rapporte à un tel calculateur comportant un ensemble à microprocesseur as- socié à des moyens de mémorisation de données et adapté pour être raccordé à un outil de téléchargement d'informations de mise à jour des données stockées, lors d'opérations de mise à jour de ce calculateur. On connaît déjà dans l'état de la technique, par exemple du document FR-A-2 719 919, un calculateur de pilo- tage de ce type, dans lequel les moyens de mémorisation com- prennent: 1) une mémoire non volatile adaptée pour stocker un programme de démarrage du calculateur, 2) une mémoire flash adaptée pour stocker au moins un programme d'application pour l'organe fonctionnel, 3) au moins une mémoire de données, et 4) une mémoire non volatile électriquement program- mable adaptée pour stocker des informations d'identification du calculateur et dudit au moins un programme d'application. Une telle structure de calculateur a été développée pour résoudre les problèmes de mise à jour des différentes données stockées dans les moyens de mémorisation du calcula- teur. En effet, il peut être intéressant de pouvoir télé- charger dans le calculateur un nouveau programme d'applica- tion et/ou de nouvelles données par exemple de calibration afin de modifier le fonctionnement du calculateur de manière à optimiser le contrôle de l'organe fonctionnel à la suite d'améliorations apportées à celui-ci. On a donc développé dans l'état de la technique, des outils de téléchargement adaptés pour être raccordés par exemple par une ligne de téléchargement, au calculateur, afin d'introduire dans les moyens de mémorisation de données de celui-ci, des informations de mise à jour de celles-ci. Dans ce cas, le calculateur doit posséder une zone d'identification contenant les paramètres nécessaires d'une part à l'identification du calculateur et d'autre part, à l'identification des données stockées dans les moyens de mé- morisation de celui-ci. Le document FR-A-2 719 924 décrit un procédé de dé- verrouillage de l'accès de l'outil de téléchargement au cal- culateur. Cependant, lors de chaque opération de mise à jour de ce calculateur, les informations de mise à jour introdui- tes dans celui-ci écrasent les données stockées précédemment dans les moyens de mémorisation du calculateur afin de les remplacer. Le but de l'invention est de proposer un perfection- nement à ce type de calculateur. A cet effet, l'invention a pour objet un calculateur de pilotage du fonctionnement d'un organe fonctionnel de vé- hicule automobile, comportant un ensemble à microprocesseur associé à des moyens de mémorisation de données et adapté pour être raccordé à un outil de téléchargement d'informa- tions de mise à jour des données stockées, lors d'opérations de mise à jour du calculateur, caractérisé en ce que les moyens de mémorisation comportent une zone de stockage d'in- formations relatives à un historique des opérations de mise à jour du calculateur. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant au dessin annexé qui représente un schéma synoptique illustrant la structure d'un calculateur de pilotage selon l'invention. On reconnaît sur cette figure, un calculateur de pilotage d'au moins un organe fonctionnel d'un véhicule auto- mobile, du type comportant une unité à microprocesseur dési- gnée par la référence générale 1 associée à des moyens de mé- morisation 2. Ce calculateur peut aussi bien être un calculateur de contrôle du fonctionnement du moteur du véhicule, qu'un calculateur de commande de boite de vitesses électronique, de contrôle de suspension, de climatisation ou encore d'ordina- teur de bord. Tous ces systèmes embarqués sur véhicule, peuvent en effet présenter une structure basée sur l'emploi d'un mi- croprocesseur ou d'un microcontrôleur associé à des mémoires. Les moyens de mémorisation 2 comprennent par exem- ple: 1) une mémoire non volatile 3 adaptée pour stocker un programme de démarrage du calculateur, 2) une mémoire flash 4 adaptée pour stocker au moins un programme d'application pour l'organe fonctionnel, 3) au moins une mémoire de données 5, et 4) une mémoire non volatile électriquement pro- grammable 6 adaptée pour stocker des informations d'iden- tification du calculateur et dudit au moins un programme d'ap- plication. Le calculateur doit en effet contenir un programme de démarrage ou de "BOOT" implanté dans une mémoire non vola- tile de type EEPROM ou flash paginée du coeur numérique afin de permettre par exemple le lancement d'un téléchargement du programme d'application dans le calculateur. La mémoire de programme d'application correspond à une zone de stockage du programme qui permet au calculateur électronique d'assurer la fonction pour lequel il a été conçu. Il inclut aussi bien le programme que les données ainsi que les calibrations. La mémoire de données 5 est en fait une zone de données correspondant à la place de mémoire nécessaire au traitement des caractères reçus, par exemple sur une ligne de diagnostic du véhicule et au programme de téléchargement de celui-ci. La mémoire non volatile électriquement programmable 6 de stockage des informations d'identification du calculateur est utilisée dans la mesure o le calculateur doit posséder une zone d'identification contenant les paramètres nécessaires d'une part à l'identification du calculateur et d'autre part, à l'identification du programme d'application. Pour les calculateurs munis d'une mémoire EEPROM, la zone d'identification est stockée dans cette mémoire afin d'être sauvegardée en permanence, tandis que pour les autres calculateurs, elle est stockée directement dans la mémoire Flash EPROM. Cette zone d'identification comporte en outre les informations suivantes: LABEL CHKSUM CLEF FOURNISSEUR SYSTEME DATE-1 APPLICATION VERSION EDITION DATE-2 SITE SIGNATURE NOMBRE Cette zone d'identification comporte en fait par exemple les zones suivantes: 1) CHKSUM qui correspond à une zone de somme de contrôle de la mémoire Flash après téléchargement du code et cette information peut être donnée sur 16 bits. La zone d'identification n'est pas intégrée dans le calcul de la somme de contrôle. Cette zone peut contenir le complément à deux du modulo 65536 de la somme des octets télé- chargés. Après téléchargement, le calculateur doit calculer sa somme de contrôle qui additionnée à la somme de contrôle de la zone d'identification doit être égale à zéro. Cette zone n'est pas nécessaire si d'autres moyens de contrôle sont utilisés. 2) CLEF qui correspond à une zone de clef d'accès au calculateur. Cette information sur 16 bits par exemple, donne la clef d'accès au programme de téléchargement et cette clef est inopérante lorsque sa valeur est égale à zéro. 3) FOURNISSEUR qui correspond à une zone d'iden- tification du fournisseur du calculateur codée par exemple sur 8 bits et qui permet d'identifier celui-ci à partir d'une lo- gique de codage déterminée quelconque. 4) SYSTEME qui correspond à une zone d'identifi- cation de la famille du calculateur, c'est à dire la défini- tion du matériel de cette famille, codée par exemple sur 8 bits. ) DATE- 1 qui correspond à une zone d'indication de la date de fabrication du calculateur, par exemple sur trois octets. Le premier octet peut indiquer le jour du mois de fa- brication, le second, le mois de l'année, et le troisième, l'année du siècle. 6) APPLICATION qui correspond à une zone d'iden- tification du type d'application, codée par exemple sur 8 bits, auquel est destiné le programme d'application et qui correspond à une version de matériel différente pour un sys- tème donné. 7) VERSION qui correspond à une zone d'identifi- cation de la version du programme d'application stocké, c'est à dire une information codée sur 8 bits par exemple, qui ca- ractérise la version du logiciel qui fonctionne dans le calcu- lateur. 8) EDITION qui correspond à une zone d'indication de l'état de modification du programme d'application stocké, codée par exemple sur 16 bits. Le poids fort de cette zone peut correspondre à l'état de modification du logiciel, tandis que le poids faible peut correspondre à l'état de modification de la calibration. Pour les calculateurs qui n'utilisent pas d'indices de calibration, le poids faible peut être forcé à zéro. 9) DATE-2 qui correspond à une zone d'indication de la date de chargement de la version/Edition du programme d'ap- plication stocké. Cette information par exemple sur trois oc- tets identifie la dernière date de programmation ou de repro- grammation de la version/Edition du programme du calculateur. Le codage de cette zone est identique à celui de la zone DATE- 1. ) SITE qui correspond à une zone d'identification du site o s'est produit le premier chargement d'un programme d'application dans la mémoire Flash, qui peut se présenter sous la forme d'une information sur 8 bits, codée de manière déterminée quelconque pour identifier ce site. 11) SIGNATURE qui correspond à une zone d'iden- tification de la signature du site o s'est produit le charge- ment du programme d'application stocké, codée d'une manière déterminée quelconque sur trois octets pour identifier le lieu de reprogrammation du calculateur, et enfin 12) NOMBRE qui correspond à une zone d'indication du nombre de programmes d'application chargés dans la mémoire Flash. Cette information par exemple sur 8 bits identifie le nombre de programmes d'application qui ont été chargés dans ce calculateur et permet également d'identifier la présence d'un programme d'application. Cette variable est gérée directement par le calcu- lateur et permet à tout moment de connaître le nombre de pro- grammations réellement effectuées sur le calculateur et permet par exemple d'identifier les programmations faites par des or- ganismes non autorisés. D'autres moyens de contrôle peuvent être utilisés pour reconnaître de telles programmations frauduleuses comme cela sera décrit plus en détail par la suite. Afin d'assurer le téléchargement d'un programme d'application dans les meilleures conditions, cette zone d'identification doit être programmée et/ou remise à jour de la manière suivante. La programmation du calculateur peut en effet être découpée en trois phases distinctes qui sont pour la première, une phase correspond à une fabrication du calculateur associée à une première programmation par le fournisseur de celui-ci, pour la seconde, une phase qui peut être réalisée soit chez le fournisseur du calculateur, soit chez l'utilisateur et qui correspond à la programmation de la première application dans celui-ci, et enfin pour la troisième, une phase qui est réser- vée au service après-vente pour la gestion des évolutions de logiciel. Pour la première phase de programmation chez le fournisseur du calculateur, celui-ci doit programmer une par- tie de la zone d'identification afin d'identifier le produit et ce d'une façon décrite dans le tableau suivant. Dans ce tableau, les informations codées par le fournisseur sont notées X. !I;!! LABEL.?:-"VALEUR REMARQUE CHKSUM O CLEF O Autorisation d'écriture FOURNISSEUR XX Code du fournisseur SYSTEME XX DATE-1 XXXX Date de fabrication APPLICATION XX VERSION O EDITION O DATE-2 SITE FE SIGNATURE O NOMBRE FE Une fois le calculateur livré par exemple chez un fabricant de véhicules automobiles, celui-ci est implanté sur véhicule et la seconde phase de programmation de celui-ci se produit par exemple sur la ligne de montage du véhicule. Cette seconde phase de programmation permet de met- tre en place le programme d'application. Cette opération est par exemple réalisée par télé- chargement de ce programme dans la mémoire correspondante du calculateur, par l'intermédiaire d'une ligne de télécharge- ment, notée 7 sur la figure. Cette ligne de téléchargement permet de charger au moins un programme d'application dans la mémoire Flash et de remettre à jour la zone d'identification dans la mémoire non volatile électriquement programmable. Cependant, avant d'effectuer le téléchargement de ce code, l'outil de téléchargement correspondant doit corréler des paramètres de la zone d'identification du calculateur avec des paramètres à implanter et qui correspondent par exemple aux zones de SYSTEME et d'APPLICATION décrites précédemment. En effet, ces paramètres SYSTEME et APPLICATION du code à implanter doivent être identiques à ceux stockés. La zone d'identification est alors modifiée de la façon suivante, les modifications opérées lors de cette se- conde phase de programmation étant notées Y. | - BL VALEUR -REMAQUE- ...................Q E..DTD: CHKSUM YYYY CLEF YYYY FOURNISSEUR XX Code du fournisseur SYSTEME XX DATE-1 XXXXXX Date de fabrication APPLICATION XX VERSION YY EDITION YY DATE-2 YYYYYY SITE YY SIGNATURE O0 NOMBRE 01 Première programmation Il est impératif que la procédure de téléchargement modifie la zone d'identification pour la remettre à jour seu- lement après la transmission de données et le téléchargement du programme. La troisième phase de programmation, par exemple en service après vente, ne diffère de la précédente que par le fait qu'elle s'effectue sur le véhicule par exemple en service après vente. Avant d'effectuer le téléchargement du code, l'ou- til de téléchargement doit corréler certains des paramètres de la zone d'identification avec les paramètres à implanter. Ces paramètres sont les paramètres de SYSTEME, d'APPLICATION, de VERSION et d'EDITION. Les paramètres de SYSTEME, d'APPLICATION et de VER- SION du code à implanter devront être identiques à ceux cor- respondants stockés, tandis que le paramètre d'EDITION du code à implanter devra être strictement supérieur au paramètre d'EDITION stocké de la zone d'identification. Dans le cas de calculateurs de contrôle du fonc- tionnement des moteurs reliés à un clavier d'antidémarrage co- dé, il interdit, une fois verrouillé, toute communication avec les lignes de téléchargement, de sorte qu'il est nécessaire de réaliser un déverrouillage préalable du calculateur par ce clavier d'antidémarrage codé. La troisième phase de programmation se traduit par les modifications suivantes de la zone d'identification (modifications notées Z). LAB--L VAEU XR QUE-- CHKSUM ZZZZ CLEF YYYY FOURNISSEUR XX Code du fournisseur SYSTEME XX DATE-1 XXXXXX Date de fabrication APPLICATION XX VERSION YY EDITION ZZ DATE-2 ZZZZZZ SITE ZZ SIGNATURE ZZZZZZ NOMBRE ZZ Incrémentation Z=Y+l Une autre programmation peut également être réali- sée lors de l'implantation d'un calculateur de rechange. Le calculateur ne possédant à l'origine que l'éti- quette du fournisseur, une seconde étiquette est adjointe par les services après vente lors de la programmation de ce calcu- lateur de rechange. Cependant, cette programmation d'un calculateur de rechange ne diffère pas des procédures décrites précédemment et seule la zone d'identification est modifiée, et se présente de la façon suivante (modifications notées W). ::LABEL VALEUR:REMARQUE:... CHKSUM WWWW CLEF WWWW FOURNISSEUR XX Code du fournisseur SYSTEME XX DATE-1 XXXXXX Date de fabrication APPLICATION XX VERSION WW EDITION WW DATE-2 WW SITE FD SIGNATURE WWWWWW NOMBRE 01 Première programmation On conçoit alors que la structure de ce calculateur permet une remise à niveau très simple par exemple du ou des programmes d'application chargés dans celui-ci et une remise à jour de la zone d'identification. De plus, les moyens de mémorisation 2 de ce calcu- lateur comportent une zone de stockage d'informations relati- ves à un historique des opérations de mise à jour du calcula- teur. Ainsi par exemple, cette zone de stockage des in- formations relatives à l'historique des opérations de mise à jour peut être prévue dans une mémoire non volatile des moyens de mémorisation 2, cette mémoire non volatile étant formée par exemple par une portion de la mémoire flash des moyens de mé- *morisation. Ces informations d'historique comportent alors dif- férentes données permettant de suivre les modifications et les mises à jour successives des données stockées dans les moyens de mémorisation du calculateur, afin par exemple de retracer l'évolution de celui-ci en conservant une trace des différen- tes configurations de celui-ci dans le temps. Ces informations d'historique peuvent alors compor- ter par exemple des informations d'identification du fournis- seur du calculateur, des informations d'identification de ce calculateur et des informations d'identification des données stockées dans les moyens de mémorisation. De plus, ces informations peuvent également compor- ter des informations de date de mise à jour et des informa- tions d'identification du site o s'est produite cette mise à jour. Ces différentes informations ont été décrites pré- cédemment et ne seront donc pas reprises en détail. Bien entendu, d'autres informations peuvent encore être intégrées dans ces informations d'historique. On conçoit alors que ceci permet de conserver dans le calculateur, une trace des différentes opérations de mise à jour réalisées sur ce calculateur afin de faciliter par exem- ple la compréhension du fonctionnement et les opérations de maintenance de celui-ci, de même que la détection des manipu- lations frauduleuses de ce calculateur. REVENDICATIONS 1. Calculateur de pilotage du fonctionnement d'un organe fonctionnel de véhicule automobile, comportant un en- semble à microprocesseur (1) associé à des moyens de mémori- sation de données (2) et adapté pour être raccordé à un ou- til de téléchargement d'informations de mise à jour des don- nées stockées, lors d'opérations de mise à jour du calcula- teur, caractérisé en ce que les moyens de mémorisation (2) comportent une zone de stockage d'informations relatives à un historique des opérations de mise à jour du calculateur. 2. Calculateur selon la revendication 1, carac- térisé en ce que la zone de stockage des informations d'histo- rique est prévue dans une mémoire non volatile des moyens de mémorisation (2). 3. Calculateur selon la revendication 2, caractéri- sé en ce que la mémoire non volatile est formée par une por- tion d'une mémoire flash des moyens de mémorisation (2). 4. Calculateur selon l'une quelconque des revendi- cations précédentes, caractérisé en ce que les informations relatives à l'historique de mise à jour du calculateur com- prennent au moins: - des informations d'identification du fournisseur du calculateur, - des informations d'identification du calculateur, et - des informations d'identification des données stockées dans les moyens de mémorisation. 5. Calculateur selon la revendication 4, caractéri- sé en ce que les informations relatives à l'historique compor- tent en plus: - des informations de date de mise à jour, et - des informations d'identification du site o s'est produite la mise à jour.