FR 3063553 A1 20180907 FR 1751770 A 20170306 1 ARCHITECTURE ÉLECTRONIQUE EMBARQUÉE DE NOEUDS DE CAPTEUR 1. Domaine technique de l'invention L'invention concerne une architecture électronique embarquée. En particulier, l'invention concerne une architecture électronique embarquée comprenant des noeuds de capteur disposés dans des secteurs critiques à haute température, tels que des environnements contraints, notamment dans le domaine de l'aéronautique. 2. Arrière-plan technologique Les équipements électroniques du secteur public évoluent très rapidement par rapport aux équipements du secteur industriel, notamment par rapport à ceux du secteur aéronautique. Ce secteur aéronautique est en effet marqué par de fortes contraintes environnementales qui limitent grandement le choix des technologies exploitables. En particulier, les mémoires indispensables dans la plupart des circuits électroniques numériques sont caractéristiques de cet écart. Notamment, le secteur électronique grand public est marqué par la présence de plus en plus fréquente de mémoires flash de type NAND, présentant un succès important du fait de la taille de ses cellules et de ses modes d'accès (permettant un effacement rapide de blocs complets). Ces mémoires ont une densité accrue et donc une capacité de stockage plus élevée que les technologies concurrentes à encombrement équivalent. Cette technologie n'est toutefois pas adaptée au secteur aéronautique du fait de sa résistance limitée aux hautes températures. On entend par hautes températures, dans le cas de mémoire flash de type NAND, des températures supérieures à 105°C. Les mémoires flash de type NAND ne sont généralement pas spécifiées au-delà de 105°C, car elles présentent des risques de pertes de charges stockées dans leurs cellules, ces charges définissant la valeur du bit stocké. Au-delà de 125°C, l'intégrité du contenu de la mémoire de flash de type NAND n'est généralement plus assuré. Dans le secteur aéronautique, où les composants peuvent régulièrement être soumis à ces hautes température dans certains secteurs d'un aéronef, des mémoires concurrentes sont utilisées, par exemple des mémoires flash de type NOR, FeRAM, etc., 3063553 2 notamment dans leurs versions dites « durcies ». Ces mémoires durcies sont toutefois moins denses et plus onéreuse car visant des marchés spécifiques industriels, automobile ou aéronautique. Par exemple, pour un encombrement équivalent, une mémoire durcie dépasse rarement les 32Mbit tandis que les mémoires flash de type 5 NAND atteignent actuellement plusieurs Gbit. De même, les circuits intégrés conçus pour des applications spécifiques (ASIC), peuvent intégrer un type de mémoire n'étant pas qualifié pour les hautes températures. Par exemple, les mémoires réinscriptibles de type EEPROM ne sont généralement pas spécifiés pour être efficaces à haute température, le temps de rétention pouvant être 10 diminué d'un facteur dix si la température maximale spécifiée est dépassée, alors que les machines d'état les contrôlant peuvent avoir une température de fonctionnement plus élevée. L'utilisation de mémoires spécifiques pour ces hautes températures impose un coût de développement et de fabrication plus élevé, et des densités moindres. On entend par haute température, dans le cadre d'un ASIC comprenant une 15 mémoire de type EEPROM, des températures supérieures à 175°C. Dans une application aéronautique, le coût associé aux mémoires durcies a un impact important pour des composants déployés en masse dans un aéronef, et notamment dans le cadre des noeuds de capteurs (aussi appelés sensor node en anglais), qui sont des composants électroniques d'acquisition de données (capteurs) placés au 20 plus près des éléments sensibles de mesure. Ils ont pour objectifs d'améliorer la résolution de l'acquisition et d'accroitre la modularité des systèmes en déportant cette fonctionnalité à distance d'une électronique centrale. Ces noeuds de capteur comprennent généralement une mémoire et un contrôleur, de type microprocesseur ou une machine d'état câblée. Les 25 microcontrôleurs, ou les ASICs très largement utilisés pour la conception des noeuds de capteur comprennent par exemple un ensemble mémoire et contrôleur intégrés. Au vu de la disposition de ces noeuds de capteur au plus près des systèmes surveillés afin de s'approcher au mieux des secteurs de mesure, les mémoires de ces noeuds de capteur sont régulièrement soumises à des hautes températures. Pour éviter la perte 30 prématurée d'informations dans ces conditions, des mémoires durcies telles qu'évoquées précédemment sont donc utilisées. 3063553 3 Toutefois, comme évoqué précédemment, ces mémoires ont un coût élevé et une densité de données stockées faibles. Ainsi, dans le cadre d'un déploiement d'un nombre élevé de noeuds de capteur, les mémoires représentent un investissement important. 5 Dans les architectures de réseaux de capteurs soumises aux hautes températures, l'utilisation des mémoires flash de type NAND ne peut pas être envisagé pour les noeuds de capteur car les hautes températures risqueraient de dégrader l'intégrité des mémoires des noeuds de capteur. Il en va de même pour l'utilisation de mémoires EEPROM par exemple pour d'autres applications hautes températures. 10 Une solution proposée dans l'art antérieur est de tripliquer toutes les zones mémoires pour bénéficier en permanence de deux copies de chacune de ces zones, pour comparaison. Toutefois, cette solution entraine que trois fois plus de capacité mémoire est nécessaire pour stocker les mêmes informations, ce qui augmente les coûts des mémoires. Une autre solution pour les architectures de réseau de capteur soumises à 15 hautes températures est d'utiliser des mémoires inscriptibles une fois uniquement, mais le système les exploitant est peu versatile est n'est plus configurable pendant sa durée de vie. Les inventeurs ont donc cherché une solution à ces problèmes techniques 3. Objectifs de l'invention 20 L'invention vise à pallier au moins certains des inconvénients des architectures électroniques comprenant des noeuds de capteur connues. En particulier, l'invention vise à fournir, dans au moins un mode de réalisation de l'invention, une architecture électronique qui permet de réduire le coût des mémoires des noeuds de capteur. 25 L'invention vise aussi à fournir, dans au moins un mode de réalisation de l'invention, une architecture électronique permettant de préserver l'intégrité des données stockées par les mémoires des noeuds de capteur. L'invention vise aussi à fournir, dans au moins un mode de réalisation de l'invention, une architecture électronique résistante aux hautes températures. 30 L'invention vise aussi à fournir, dans au moins un mode de réalisation de l'invention, une architecture électronique permettant l'augmentation de la densité de 3063553 4 stockage des mémoires des noeuds de capteur. L'invention vise aussi à fournir, dans au moins un mode de réalisation, un procédé de vérification de l'intégrité de la mémoire d'un noeud de capteur. 4. Exposé de l'invention 5 Pour ce faire, l'invention concerne une architecture électronique embarquée, comprenant : une pluralité de noeuds de capteur, comprenant chacun une mémoire et un contrôleur, les mémoires des noeuds de capteur comprenant des données, lesdites données étant destinées à être exécutées ou utilisées 10 par le contrôleur et chaque donnée étant stockée dans une zone mémoire de la mémoire de chaque noeud, un réseau de capteur, reliant les noeuds de capteur, caractérisée en ce que au moins un des noeuds de capteur est susceptible d'être soumis à des 15 hautes températures, l'architecture comprend un composant de sauvegarde, relié au réseau de capteur, comprenant une mémoire, de préférence fiable aux températures d'utilisation et/ou fiable et non dégradée par des hautes températures, comprenant une sauvegarde des données des noeuds de 20 capteur, chaque noeud de capteur susceptible d'être soumis à des hautes températures est configuré pour calculer et transmettre une empreinte d'une zone mémoire au composant de sauvegarde, le composant de sauvegarde est configuré pour comparer l'empreinte mémoire de la 25 zone mémoire du noeud de capteur et une empreinte d'une zone mémoire de la mémoire fiable du composant de sauvegarde comprenant la même donnée que la zone mémoire du noeud de capteur, et le composant de sauvegarde transmet au noeud de capteur, via le réseau de capteur : 30 une copie de la zone mémoire fiable du composant de sauvegarde si les deux empreintes sont différentes, 3063553 5 un message de validation si les empreintes sont identiques, de sorte à indiquer que la zone mémoire du noeud n'est pas dégradée. Une architecture électronique selon l'invention permet donc de prévenir les pertes de données des mémoires soumises à de hautes températures dans les noeuds de 5 capteur par sauvegarde des données, qui peuvent être notamment des instructions de programme ou des valeurs paramètres, comprises dans ces mémoires dans un composant de sauvegarde. Cette caractéristique est possible car les noeuds de capteur comprennent généralement tous les mêmes données. Dans tous les cas, l'architecture est faite de sorte que le composant de sauvegarde dispose d'une sauvegarde de toutes 10 les données des noeuds de capteur si ceux-ci sont en partie différentes. L'invention permet en outre de bénéficier d'une plus grande quantité de stockage pour chaque noeud de capteur, en comparaison avec des architectures de l'art antérieure dans lesquelles les données sont toutes dupliquées ou tripliquées, ou dans lesquelles les mémoires comprennent des codes correcteurs d'erreurs pour chaque 15 donnée, notamment chaque instruction de programme, ou encore dans lesquelles des mémoires durcies à capacité de stockage réduites sont utilisées pour un encombrement équivalent aux solutions proposées. Les mémoires sont de préférence des mémoires flash de type NAND ou des mémoires de type EEPROM. 20 Comme décrit précédemment, on entend par hautes températures des températures supérieures à 105°C pour les mémoires flash de type NAND, à partir de laquelle les mémoires flash de type NAND couramment utilisées perdent en fiabilité, ou des températures supérieures à 175°C pour des mémoires de type EEPROM, à partir de laquelle les mémoires de type EEPROM ou équivalent perdent en fiabilité. 25 L'empreinte est calculée selon un procédé connu de calcul d'empreinte, par exemple par un procédé de type MD5, checksum, etc. Comme les contrôleurs généralement utilisés industriellement, de type microprocesseur ou ASIC, sont déjà résistants à ces hautes températures, il n'est pas nécessaire de les protéger davantage. 30 Un microcontrôleur est désigné par un microprocesseur considéré résistant à haute température et une zone mémoire intégrée peu résistante aux hautes 3063553 6 températures. La zone mémoire peut être de dimension variable, et comprendre soit uniquement une donnée, ou comprendre une pluralité de données de type instructions de programme ou valeurs permettant de paramétrer une machine d'états. 5 Avantageusement et selon une première variante de l'invention, le composant de sauvegarde est un dispositif central situé hors du secteur soumis à de hautes températures. Selon cette variante de l'invention, le dispositif central est situé dans un secteur 10 non soumis à de hautes températures et peut donc stocker une grande quantité de données de façon fiable et pour un coût faible sans crainte de perte de données dues aux hautes températures. Le dispositif central traite toutes les demandes de vérification d'empreinte des noeuds de capteur. 15 Avantageusement et selon une deuxième variante de l'invention, le composant de sauvegarde est un noeud de capteur protégé, comprenant une mémoire durcie résistante à la température. Selon cette variante de l'invention, un des noeuds de capteur fait office de composant de sauvegarde et comprend une mémoire durcie, par exemple une mémoire 20 flash de type NOR, FeRAM, etc., plus onéreuse mais présente en un unique exemplaire dans l'architecture, ce qui réduit grandement les coûts de l'architecture en permettant l'utilisation d'une mémoire flash de type NAND ou des mémoires de type EEPROM ou équivalentes pour tous les autres noeuds de capteur. 25 Avantageusement et selon une troisième variante de l'invention, chaque noeud de capteur comprend un capteur de température, et en ce que le composant de sauvegarde est un des noeuds de capteur, dont la température mesurée par le capteur de température est inférieure à un seuil prédéterminé. Selon cette variante de l'invention, un des noeuds de capteur fait office de 30 composant de sauvegarde uniquement si la température à laquelle il est exposé est inférieure à un seuil prédéterminée, à laquelle il est assuré que les données qu'il 3063553 7 contient sont correctes. Ainsi, le noeud de capteur faisant office de composant de sauvegarde peut varier en fonction du temps, selon si celui-ci se trouve ou non dans un secteur soumis à haute température. Le seuil prédéterminé est un seuil en dessous duquel on considère que la mémoire flash de type NAND ne présente pas de risques 5 d'être dégradé pendant la durée d'exposition, par exemple en dessous de 85°C ou de 105°C, ou, si une mémoire de type EEPROM ou équivalent est intégrée, un seuil en dessous duquel on considère que la mémoire de type EEPROM ou équivalent ne présente pas de risques d'être dégradé pendant la durée d'exposition prévue, par exemple en-dessous de 175°C. 10 Avantageusement et selon une première variante de l'invention, la mémoire de chaque noeud de capteur comprend des zones mémoires critiques tripliquées comprenant au moins des données étant des instructions de programme critiques permettant la programmation des zones mémoires, la communication avec les autres 15 noeuds de capteur et le calcul de l'empreinte de zone mémoire. Selon cet aspect de l'invention, certaines instructions comprises dans la mémoire permettant le bon fonctionnement de la vérification de l'intégrité des zones mémoires possèdent deux copies dans la mémoire afin de pouvoir effectuer une autocorrection avant de demander au composant de sauvegarde de vérifier l'intégrité 20 des zones mémoires. Ces copies réduisent la taille disponible dans la mémoire, mais la réduction de mémoire est très faible par rapport à une triplication de l'ensemble des instructions contenues dans la mémoire. De préférence, les copies des zones mémoires critiques sont éloignées l'une de l'autre (par exemple dans des cellules différentes) pour éviter d'être dégradées en même temps. 25 Avantageusement et selon une deuxième variante de l'invention, chaque noeud de capteur comprend un contrôleur comprenant un circuit dans lequel sont câblés des systèmes de programmation critique permettant la programmation des zones mémoires, la communication avec les autres noeuds de capteur et le calcul de 30 l'empreinte de zone mémoire. Selon cet aspect de l'invention, le contrôleur de chaque noeud de capteur, qui 3063553 8 est de préférence un contrôleur de type ASIC, permet d'effectuer les programmes dits critiques qui sont câblés en dur dans le contrôleur et donc ne sont pas susceptibles d'être dégradés par de hautes températures. Ce système est une alternative à la variante précédente, permettant d'éviter la 5 vérification des zones mémoires critiques et la triplication de ces zones mémoires critiques. L'invention concerne également un procédé de vérification de l'intégrité d'une zone mémoire d'un noeud de capteur d'une architecture électronique selon l'invention, 10 ladite zone mémoire comprenant une donnée à exécuter ou utiliser par le noeud de capteur, caractérisé en ce qu'il comprend les étapes suivantes : une étape de calcul d'une empreinte mémoire de la zone mémoire par le noeud de capteur, une étape de transmission de l'empreinte mémoire au composant de 15 sauvegarde par le noeud de capteur, une étape de comparaison de l'empreinte mémoire avec une empreinte d'une zone mémoire de la mémoire fiable du composant de sauvegarde comprenant la même donnée que la zone mémoire du noeud de capteur, 20 une étape de transmission d'une réponse par le composant au noeud de capteur, ladite réponse comprenant : une copie de la zone mémoire fiable du composant de sauvegarde si les deux empreintes sont différentes, indiquant que la zone mémoire du noeud de capteur transmise est 25 dégradée, un message de validation si les empreintes sont identiques, de sorte à indiquer que la zone mémoire du noeud n'est pas dégradée, une étape de programmation de la copie de la zone mémoire fiable du 30 composant de sauvegarde à la place de la zone mémoire du noeud si celle-ci est dégradée. 3063553 9 Un procédé selon l'invention permet de vérifier, à chaque fois qu'un noeud de capteur veut exécuter ou utiliser une donnée, que la zone mémoire comprenant cette donnée est bien correcte et comprend une donnée valide, par exemple une instruction de programme valide ou un paramètre de valeur valide. 5 Avantageusement, le procédé de vérification comprend en outres les étapes préalables suivantes : une étape de vérification de l'intégrité de zones mémoire critiques comprenant des instructions de mémoire critiques, comprenant les 10 sous-étapes de : vérification d'une première zone mémoire critique comprenant des instructions de programme permettant de programmer les zones mémoires de la mémoire du noeud de capteur, vérification d'une deuxième zone mémoire critique comprenant 15 des instructions de programme permettant la communication avec le composant de sauvegarde via le réseau de capteur, vérification d'une troisième zone mémoire critique comprenant des instructions de programme permettant le calcul de l'empreinte d'une zone mémoire, 20 lesdites sous-étapes de vérification comprenant la comparaison de chaque zone mémoire critique avec deux copies de cette zone mémoire critique, les deux copies étant stockées par la mémoire du noeud de capteur. Selon cet aspect de l'invention, cette étape supplémentaire de vérification de l'intégrité des zones mémoires critiques permet de s'assurer du bon déroulement des 25 étapes de calcul d'une empreinte mémoire, de transmission de l'empreinte mémoire et de programmation de la copie de la zone mémoire fiable du procédé. Selon une autre variante de l'invention, les données critiques, telles que les instructions de programme permettant de programmer les zones mémoires de la mémoire du noeud de capteur, les instructions de programme permettant la 30 communication avec le composant de sauvegarde via le réseau de capteur et les instructions de programme permettant le calcul de l'empreinte d'une zone mémoire 3063553 10 sont câblées dans un ASIC insensible aux hautes températures et ne nécessite pas de vérification de zones mémoires critiques. L'invention concerne également une architecture électronique et un procédé de 5 vérification caractérisés en combinaison par tout ou partie des caractéristiques mentionnées ci-dessus ou ci-après. 5. Liste des figures D'autres buts, caractéristiques et avantages de l'invention apparaîtront à la lecture de la description suivante donnée à titre uniquement non limitatif et qui se 10 réfère aux figures annexées dans lesquelles : la figure 1 est une vue schématique d'une architecture électronique selon un premier mode de réalisation de l'invention, la figure 2 est une vue schématique d'une architecture électronique selon un deuxième mode de réalisation de l'invention, 15 la figure 3 est une vue schématique en perspective d'une architecture électronique selon un troisième mode de réalisation de l'invention, la figure 4 est une vue schématique d'un procédé de vérification d'intégrité de la mémoire d'un noeud de capteur d'une architecture électronique selon un mode de réalisation de l'invention. 20 6. Description détaillée d'un mode de réalisation de l'invention Les réalisations suivantes sont des exemples. Bien que la description se réfère à un ou plusieurs modes de réalisation, ceci ne signifie pas nécessairement que chaque référence concerne le même mode de réalisation, ou que les caractéristiques s'appliquent seulement à un seul mode de réalisation. De simples caractéristiques de 25 différents modes de réalisation peuvent également être combinées pour fournir d'autres réalisations. Sur les figures, les échelles et les proportions ne sont pas strictement respectées et ce, à des fins d'illustration et de clarté. Les figures 1, 2 et 3 représentent schématiquement une architecture 10 30 électronique respectivement selon un premier, un deuxième et un troisième mode de réalisation de l'invention. L'architecture 10 électronique comprend ici, pour illustration, 3063553 11 deux noeuds de capteur, un premier noeud 12a de capteur et un deuxième noeud 12b de capteur. En pratique, dans le cadre de l'utilisation de l'architecture électronique dans un aéronef, l'architecture électronique comprend un nombre important de noeuds de capteur, allant de l'unité à une vingtaine par branche réseau, et pouvant constituer un 5 super-réseau de près d'une centaine de noeuds, disséminés dans différents secteurs de l'aéronef au plus près des systèmes à surveiller. Chaque noeud 12a, 12b de capteur comprend une mémoire 14a, 14b (de préférence une mémoire flash de type NAND ou une mémoire de type EEPROM) et un contrôleur 16a, 16b (par exemple un processeur ou un ASIC, intégrant ou non la 10 mémoire contrôlée) permettant d'exécuter des instructions de programme sauvegardés sur sa mémoire 14a, 14b ou d'exploiter des paramètres de fonctionnement contenus dans sa mémoire 14a, 14b. Les deux noeuds 12a, 12b de capteurs sont ici situé dans un secteur soumis à de hautes températures, et peuvent donc subir une dégradation du contenu de leur 15 mémoire 14a, 14b. Le contrôleur est un composant qualifié pour les hautes températures et donc ne risque pas d'être dégradé, ou se situe dans une zone protégée des hautes températures et donc ne risque pas d'être dégradé. Les noeuds de capteur 12a, 12b sont connectés à un réseau de capteurs permettant de communiquer avec les différents composants liés à ce réseau 20 notamment avec d'autres noeuds de capteurs. L'architecture 10 comprend un composant de sauvegarde relié au réseau de capteur et comprenant une mémoire fiable non dégradée par des hautes températures comprenant une sauvegarde des données des noeuds de capteur. Chaque noeud 12a, 12b de capteur souhaitant exécuter une instruction de 25 programme ou faire appel à des paramètres système préenregistrés peut vérifier l'intégrité d'une zone mémoire en calculant une empreinte de cette zone mémoire et en la transmettant au composant de sauvegarde. Le composant de sauvegarde compare l'empreinte reçue à une empreinte de la zone mémoire comprenant la même donnée : si les deux empreintes sont identiques, cela signifie que la zone mémoire du noeud de 30 capteur n'est pas dégradée et il avertit le noeud de capteur ; si les deux empreintes sont différentes, cela signifie que la zone mémoire du noeud de capteur est dégradée et le 3063553 12 composant de sauvegarde envoie une copie de sauvegarde de cette zone mémoire. La copie de sauvegarde est programmée dans la mémoire du noeud de capteur par le contrôleur du noeud de capteur, pour remplacer la zone mémoire dégradée. 5 Dans le premier mode de réalisation de l'invention, représenté sur la figure 1, le composant de sauvegarde est un dispositif 120 central, situé hors du ou des secteurs soumis à de hautes températures, comprenant un contrôleur 116 et une mémoire 114 protégée de la température (qui peut être une mémoire flash de type NAND à haute capacité de stockage). Par exemple, dans un aéronef, les noeuds de capteurs sont situés 10 dans différents secteurs de l'aéronef pouvant être soumis à des hautes températures et le dispositif central est situé dans une zone protégée comme par exemple la zone dite « avionique » d'un aéronef. Les noeuds de capteur envoient leurs demandes de vérification à ce dispositif central. Par exemple, le premier noeud 12a de capteur envoie une demande de vérification mémoire (notamment l'empreinte de zone mémoire à 15 vérifier), et le dispositif central répond que la mémoire est invalide et envoie une copie d'une zone mémoire valide. Dans le cas du deuxième noeud 12b de capteur, l'envoi de la demande de vérification entraine l'envoi d'un message de validation indiquant que la mémoire est valide. 20 Dans le deuxième mode de réalisation de l'invention, représenté sur la figure 2, le composant de sauvegarde est un autre noeud 220 de capteur protégé, comprenant un contrôleur 216 et une mémoire 214 durcie, c'est-à-dire résistante à la température. Dans ce type d'architecture, le premier noeud 12a de capteur voulant vérifier sa mémoire demande aux noeuds de capteur de l'architecture s'ils peuvent effectuer cette 25 modification. Le deuxième noeud 12b de capteur répond qu'il ne peut pas car sa copie n'est pas sûre. Le noeud 220 de capteur protégé peut effectuer cette vérification car sa mémoire est durcie. Dans le troisième mode de réalisation de l'invention, représenté sur la figure 3, 30 chaque noeud de capteur comprend un capteur de température, et le composant de sauvegarde est un des noeuds 320 de capteur possédant un contrôleur 316 et une 3063553 13 mémoire 314, par exemple une mémoire flash de type NAND, identique aux autres noeuds de capteurs, et dans lequel le capteur de température permet de détecter que la température à laquelle il est soumis est inférieure à un certain seuil, par exemple 105°C. Dans ce type d'architecture, le premier noeud 12a de capteur voulant vérifier sa 5 mémoire demande aux noeuds de capteur de l'architecture s'ils peuvent effectuer cette modification. Le deuxième noeud 12b de capteur répond qu'il ne peut pas car la température relevée par son capteur de température est trop élevée (au-dessus du seuil) et donc sa copie n'est pas sûre. Le noeud 320 de capteur peut effectuer cette vérification car sa la température relevée par son capteur de température est en 10 dessous du seuil prédéterminé et donc sa copie est sûre. Ces modes de réalisation sont avantageux si tous les noeuds de capteur comprennent les mêmes données, qu'elles soient des mêmes instructions ou des mêmes valeurs paramètres. Toutefois, il peut aussi être mis en place si les noeuds de 15 capteurs comprennent un jeu de données réduit en commun, et si certaines données sont propres au fonctionnement d'un noeud en particulier, du moment qu'il existe un composant de sauvegarde possédant une sauvegarde fiable des jeux de données communes et des jeux de données particulières pour chaque noeud. En outre, chaque mémoire comprend aussi des instructions de programme dites 20 critiques permettant d'exécuter les actions de calcul de l'empreinte, d'envoi de l'empreinte au composant de sauvegarde et de programmation d'une zone mémoire avec une copie reçue du composant de sauvegarde. Ainsi, ces instructions critiques sont tripliquées dans la mémoire, c'est-à-dire présents en deux copies supplémentaires, afin d'être réparée si les zones mémoires comprenant ces instructions sont dégradées. 25 Ces instructions de programmes ne sont pas présentes si le contrôleur est une ASIC certifié pour les hautes températures et dont le câblage permet d'exécuter les actions de calcul d'empreinte, d'envoi de l'empreinte au composant de sauvegarde et de programmation d'une zone mémoire avec une copie reçue du composant de sauvegarde. 30 La figure 4 représente schématiquement un procédé de vérification selon un 3063553 14 mode de réalisation de l'invention utilisant des instructions programmées pour la vérification. Le procédé comprend une première partie de vérification et éventuellement réparation des zones comprenant les instructions de programme permettant la 5 programmation d'une zone mémoire, notamment une instruction de programmation des zones mémoires critiques tripliquées et une instruction de programmation des zones mémoires (en cas de réception d'une copie d'une zone mémoire). Le procédé comprend ensuite une deuxième partie de vérification et éventuellement réparation de la zone comprenant l'algorithme de calcul d'empreinte, 10 ainsi que le calcul de ladite empreinte. Le procédé comprend ensuite une troisième partie de vérification de la zone mémoire critique comprenant les instructions de programme liées à la communication de l'empreinte vers le composant de sauvegarde, ainsi qu'une étape de transmission de l'empreinte au composant de sauvegarde. 15 Le procédé comprend ensuite une étape d'attente d'une réponse du composant de sauvegarde. Durant cette attente, le composant de sauvegarde effectue une étape de comparaison de l'empreinte mémoire avec une empreinte d'une zone mémoire de la mémoire fiable du composant de sauvegarde comprenant la même donnée que la zone mémoire du noeud de capteur. Le composant de sauvegarde transmet ensuite une 20 réponse, pouvant être un message de validation ou une copie d'une zone mémoire. Si un message de validation est reçu, le procédé se termine. Si une copie d'une zone mémoire est reçue, le procédé comprend une quatrième partie d'écriture de la copie reçue dans la zone mémoire traitée. Le procédé comprend en outre plusieurs mécanismes de sécurité, utilisant un ou 25 plusieurs minuteurs (timer en anglais), pour réparer automatiquement une zone mémoire critique si l'instruction associée n'a pas fonctionnée dans un délai prescrit par le minuteur. Un minuteur est par exemple enclenché en début de chacune des parties décrites ci-dessus, et réinitialisé en fin de chacune de ces parties. 30 REVENDICATIONS1. Architecture électronique embarquée, comprenant : une pluralité de noeuds (12a, 12b, 320) de capteur, comprenant chacun une mémoire (14a, 14b, 314) et un contrôleur (16a, 16b, 316), les mémoires (14a, 14b, 314) des noeuds de capteur comprenant des données, lesdites données étant destinées à être exécutées ou utilisées par le contrôleur et chaque donnée étant stockée dans une zone mémoire de la mémoire (14a, 14b, 314) de chaque noeud, un réseau de capteur, reliant les noeuds (12a, 12b, 320) de capteur, caractérisée en ce que au moins un des noeuds de capteur est susceptible d'être soumis à des hautes températures, l'architecture comprend un composant (120, 220, 320) de sauvegarde, relié au réseau de capteur, comprenant une mémoire (114, 214, 314) fiable aux températures d'utilisation comprenant une sauvegarde des données des noeuds de capteur, chaque noeud de capteur susceptible d'être soumis à des hautes températures est configuré pour calculer et transmettre une empreinte d'une zone mémoire au composant (120, 220, 320) de sauvegarde, le composant de sauvegarde est configuré pour comparer l'empreinte mémoire de la zone mémoire du noeud de capteur et une empreinte d'une zone mémoire de la mémoire fiable du composant (120, 220, 320) de sauvegarde comprenant la même donnée que la zone mémoire du noeud de capteur, et le composant de sauvegarde transmet au noeud de capteur, via le réseau de capteur : une copie de la zone mémoire fiable du composant de sauvegarde si les deux empreintes sont différentes, un message de validation si les deux empreintes sont identiques, de sorte à indiquer que la zone mémoire du noeud n'est pas dégradée. 3063553 16 2. Architecture électronique selon la revendication 1, caractérisée en ce que le composant de sauvegarde est un dispositif (120) central situé hors d'un secteur soumis à de hautes températures. 5 3. Architecture électronique selon la revendication 1, caractérisée en ce que le composant de sauvegarde est un noeud (220) de capteur protégé, comprenant une mémoire durcie résistante à la température. 10 4. Architecture électronique selon la revendication 1, caractérisée en ce que chaque noeud de capteur comprend un capteur de température, et en ce que le composant de sauvegarde est un des noeuds (320) de capteur, dont la température mesurée par le capteur de température est inférieure à un seuil prédéterminé. 15 5. Architecture électronique selon l'une des revendications 1 à 4, caractérisée en ce que la mémoire de chaque noeud de capteur comprend des zones mémoires critiques tripliquées comprenant au moins des données étant des instructions de programme critiques permettant la programmation des zones mémoires, la communication avec les autres noeuds de capteur et le calcul de l'empreinte de zone mémoire. 20 6. Architecture électronique selon l'une des revendications 1 à 4, caractérisée en ce que chaque noeud de capteur comprend un contrôleur comprenant un circuit dans lequel sont câblés des systèmes de programmation critique permettant la programmation des zones mémoires, la communication avec les autres noeuds de 25 capteur et le calcul de l'empreinte de zone mémoire. 7. Procédé de vérification de l'intégrité d'une zone mémoire d'un noeud de capteur d'une architecture électronique selon l'une des revendications 1 à 6, ladite zone mémoire comprenant une donnée à exécuter ou utiliser par le noeud de capteur, 30 caractérisé en ce qu'il comprend les étapes suivantes : - une étape de calcul d'une empreinte mémoire de la zone mémoire par 3063553 17 le noeud de capteur, - une étape de transmission de l'empreinte mémoire au composant de sauvegarde par le noeud de capteur, - une étape de comparaison de l'empreinte mémoire avec une empreinte 5 d'une zone mémoire de la mémoire fiable du composant de sauvegarde comprenant la même donnée que la zone mémoire du noeud de capteur, - une étape de transmission d'une réponse par le composant au noeud de capteur, ladite réponse comprenant : 10 - une copie de la zone mémoire fiable du composant de sauvegarde si les deux empreintes sont différentes, indiquant que la zone mémoire du noeud de capteur transmise est dégradée, - un message de validation si les empreintes sont identiques, de 15 sorte à indiquer que la zone mémoire du noeud n'est pas dégradée, - une étape de programmation de la copie de la zone mémoire fiable du composant de sauvegarde à la place de la zone mémoire du noeud si celle-ci est dégradée. 20 8. Procédé de vérification selon la revendication 7, caractérisé en ce qu'il comprend en outres les étapes préalables suivantes : - une étape de vérification de l'intégrité de zones mémoire critiques comprenant des instructions de mémoire critiques, comprenant les 25 sous-étapes de : vérification d'une première zone mémoire critique comprenant des instructions de programme permettant de programmer les zones mémoires de la mémoire du noeud de capteur, vérification d'une deuxième zone mémoire critique comprenant des instructions de programme permettant la communication avec le composant de sauvegarde via le réseau de capteur, .^ .^ 30 3063553 18 vérification d'une troisième zone mémoire critique comprenant des instructions de programme permettant le calcul de l'empreinte d'une zone mémoire, lesdites sous-étapes de vérification comprenant la comparaison de chaque zone 5 mémoire critique avec deux copies de cette zone mémoire critique, les deux copies étant stockées par la mémoire du noeud de capteur.