FR 3096853 A1 20201204 FR 1905695 A 20190529 Description Titre de l'invention : BOÎTIER TÉLÉMATIQUE À MODULE ÉLECTRONIQUE DE STOCKAGE DE CLÉS DE SÉCURITÉ INTERNES ET EXTERNES, POUR UN SYSTÈME Domaine technique de l'invention 100011 L'invention concerne les boîtiers télématiques qui sont destinés à équiper des systèmes comprenant un réseau de communication interne. Etat de la technique [0002] De nombreux systèmes comprennent un réseau de communication interne pouvant être couplé indirectement, par voie d'ondes, à des équipements de communication externes. Ce couplage indirect se fait via un boîtier télématique que comprend le système considéré et qui comprend un premier module électronique, souvent appelé sous-système de connectivité et propre à établir des communications par voie d'ondes avec les équipements de communication externes au moyen de clés de sécurité externes, et un second module électronique, souvent appelé sous-système télématique et propre à établir des communications avec le réseau de communication interne et avec les équipements de communication externes via le premier module électronique, au moyen de clés de sécurité internes. C'est notamment le cas de nombreux véhicules, éventuellement de type automobile. [0003] Actuellement, le premier module électronique (ou sous-système de connectivité) comprend, notamment, une carte à circuits intégrés, de type Embedded Universal Integrated Circuit Card (ou eUICC), qui stocke toutes les clés de sécurité externes dont il a besoin pour établir ses communications par voie d'ondes avec certains au moins des équipements de communication externes, et généralement de type MNO (« Mobile Network Operator » - opérateur de réseau mobile). De son côté, le second module électronique (ou sous-système télématique) comprend, notamment, une carte à circuits intégrés, de type SE (« Secure Element » - élément sécurisé capable de contenir des clés de sécurité en conformité avec les exigences de sécurité fixées par des autorités de confiance), qui stocke toutes les dés de sécurité internes dont il a besoin pour établir ses communications avec le réseau de communication interne ou au moins Fun des équipements de communication externes, et généralement de type OEM (« Original Equipment Manufacturer » - fabricant d'équipement originel). [0004] Les communications établies avec les équipements de communication externes sont destinées à permettre la transmission à un système de commandes ou de demandes d'informations ou encore d'une mise-à-jour d'un logiciel, ou bien la transmission à un équipement de communication externe d'informations demandées ou d'une demande 2 de mise-à-jour d'un logiciel ou encore d'une validation (l'intégrité de paquets de données de mise-à-jour. Ces communications peuvent être initiées par le système ou par l'un des équipements de communication externes, éventuellement périodiquement. [0005] Dans certains véhicules, le boîtier télématique passe dans un état de « basse consommation » lorsque le groupe motopropulseur est éteint, et dans ce cas seul son sous-système de connectivité est alimenté. Cela permet au véhicule de rester connecté aux réseaux mobiles afin de pouvoir recevoir à tout moment une commande d'un équipement de communication externe. Dans d'autres véhicules, le boîtier télématique est placé dans un état inactif (ou éteint) lorsque le groupe motopropulseur est éteint, et il est réveillé périodiquement par des déclencheurs internes afin de récupérer d'éventuelles commandes en attente de transmission dans un équipement de communication externe. [0006] Lors de chaque tentative de connexion à un équipement de communication externe, le boîtier télématique doit se réveiller entièrement pour récupérer les clés de sécurité internes dans sa carte à circuits intégrés de type SE, ce qui introduit un délai de récupération qui augmente la durée de la communication mais aussi nécessite de consommer de l'énergie électrique stockée. [0007] Par ailleurs, l'utilisation d'une carte à circuits intégrés de type eUICC et d'une carte à circuits intégrés de type SE rend le boîtier télématique assez onéreux et gourmand en énergie. [0008] L'invention a donc notamment pour but d'améliorer la situation. Présentation de l'invention [0009] Elle propose notamment à cet effet un boîtier télématique, destiné à équiper un système comprenant un réseau de communication interne, et comprenant : [0010] - un premier module électronique propre à établir des communications par voie d'ondes avec des équipements de communication externes au moyen d'au moins une clé de sécurité externe, et [0011] - un deuxième module électronique propre à établir des communications avec le réseau de communication interne et avec les équipements de communication externes via le premier module électronique, au moyen d'au moins une clé de sécurité interne. [0012] Ce boîtier télématique se caractérise par le fait : [0013] - qu'il comprend un troisième module électronique connecté aux premier et deuxième modules électroniques et stockant les clés de sécurité externe(s) et interne(s), [0014] - que son premier module électronique est agencé, lorsqu'il doit établir une commu- nication avec l'un des équipements de communication externes, pour accéder au troisième module électronique pour obtenir la clé de sécurité externe stockée associée à cet équipement de communication externe, et 3 100151 - que son deuxième module électronique est agencé, lorsqu'il doit établir une com- munication avec le réseau de communication interne ou l'un des équipements de communication externes, pour accéder au troisième module électronique pour obtenir la clé de sécurité interne stockée associée à ce réseau de communication interne ou à cet équipement de communication externe. [0016] Toutes les clés de sécurité externe(s) et interne(s) étant désormais stockées dans un même troisième module électronique, le nombre de cartes à circuits intégrés est divisé par deux, ce qui permet de réduire le coût, le poids, le volume et la consommation d'énergie du boîtier télématique, et la durée nécessaire à l'établissement de certaines communications. [0017] Le boîtier télématique selon l'invention peut comporter d'autres caractéristiques qui peuvent être prises séparément ou en combinaison, et notamment : [0018] - ses premier et deuxième modules électroniques peuvent être connectés au troisième module électronique via des première et seconde liaisons parallèles entre elles et indépendantes l'une de l'autre ; [0019] - la première liaison peut être de type TSO 7816 ; [0020] - la seconde liaison peut être un bus de type Serial Peripheral Interface (ou SPI - bus de données série synchrone opérant en mode full-duplex) ; [0021] - son troisième module électronique peut être une carte à circuits intégrés de type Emhedded Universal Tntegrated Circuit Card (ou cUICC) ; [0022] - son troisième module électronique peut stocker au moins une clé de sécurité interne de type Original Equipment Manufacturer (ou OEM) et au moins une clé de sécurité externe de type Mobile Network Operator (ou MNO). [0023] L'invention propose également un système comprenant un réseau de communication interne et un boîtier télématique du type de celui présenté ci-avant et connecté à ce réseau de communication interne. [0024] Par exemple, ce système peut être agencé sous la forme d'un véhicule, éven- tuellement de type automobile. Brève description des figures [0025] D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés, sur lesquels : [0026] [fig.1] illustre schématiquement et fonctionnellement un exemple de réalisation d'un boîtier télématique selon l'invention, [0027] [fig.2] illustre schématiquement un exemple d'enchaînement d'étapes mises en oeuvre entre un équipement de communication externe et un boîtier télématique selon l'invention, lorsque cet équipement de communication externe veut transmettre une commande à distance au boîtier télématique et attend une réponse de ce dernier, et 100281 Ifie.31 illustre schématiquement un exemple d'enchaînement d'étapes mises en oeuvre entre un équipement de communication externe et un boîtier télématique selon l'invention, lorsque ce dernier veut déterminer auprès de cet équipement de communication externe s'il dispose d'une récente mise-à-jour d'un logiciel. Description détaillée de l'invention [0029] L'invention a notamment pour but de proposer un boîtier télématique BT destiné à équiper un système comprenant un réseau de communication interne RC et assurant une fonction d'interface de communication rapide, à coût réduit et à consommation d'énergie réduite, avec des équipements de communication externes EC. [0030] Dans ce qui suit, on considère, à titre (l'exemple non limitatif, que le boîtier té- lématique BT est destiné à équiper un système agencé sous la forme d'un véhicule automobile. Mais l'invention n'est pas limitée à ce type de système. Elle concerne en effet tout type de système comprenant au moins un réseau de communication interne devant communiquer avec des équipements de communication externes. Par conséquent, l'invention concerne les systèmes qui sont agencés sous la forme de véhicules terrestres, de bateaux, d'aéronefs, de satellites, d'installations (éventuellement industrielles), ou de bâtiments (publics ou privés), par exemple. [0031] On a schématiquement illustré sur la figure I un exemple de réalisation d'un boîtier télématique BT selon l'invention, destiné à équiper un système (ici un véhicule automobile) comprenant un réseau de communication interne RC. [0032] On entend ici par « réseau de communication interne RC » le réseau auquel sont connectés les calculateurs du système (ici un véhicule automobile) et qui est éventuellement multiplexé. Il s'agit, par exemple, d'un réseau de type CAN (« Controller Arca Network »), de type LIN (« Local Interconnect Network »), ou de type Ethernet. [0033] Par ailleurs, on entend ici par « équipement de communication externe EC » un équipement électronique comprenant un module de communication propre à échanger des messages, éventuellement par voie d'ondes. Il pourra s'agir, par exemple, d'un serveur (éventuellement du constructeur du système), d'une station de communication (éventuellement d'une infrastructure routière), d'un autre boîtier télématique équipant un autre système, ou d'un téléphone mobile intelligent (ou « smartphone ») ou d'une tablette électronique ou d'un ordinateur (fixe ou portable) d'un utilisateur du système. [0034] Comme illustré, un boîtier télématique BT, selon l'invention, comprend des premier Ml, deuxième M2 et troisième M3 modules électroniques. [0035] Le premier module électronique Ml est agencé de manière à établir des commu- nications par voie d'ondes avec des équipements de communication externes EC au moyen d'au moins une clé de sécurité externe. Il constitue le sous-système de connectivité décrit dans la partie introductive, sans la carte à circuits intégrés de type cUICC. On comprendra qu'un ou plusieurs équipements de communication externes EC peuvent être associés à une même clé de sécurité externe. [0036] On notera que les communications par voie d'ondes que le premier module élec- tronique Ml peut établir avec des équipements de communication externes EC peuvent être de tout type. Ainsi, ces communications peuvent être à courte distance, par exemple selon le standard Car2X, CAR 2 CAR, Tnfra2Car ou WiFi, ou à plus longue distance, par exemple au moyen d'un standard de téléphonie mobile (en particulier 4G ou 5G). [0037] Le deuxième module électronique M2 est agencé de manière à établir des commu- nications avec, d'une part, le réseau de communication interne RC, et, d'autre part, les équipements de communication externes EC via le premier module électronique Ml, au moyen d'au moins une clé de sécurité interne. Il constitue le sous-système télématique décrit dans la partie introductive, sans la carte à circuits intégrés de type SE. [0038] Le troisième module électronique M3 est connecté aux premier Ml et deuxième M2 modules électroniques et stocke les clés de sécurité externe(s) et interne(s) qui sont indispensables à ces derniers (Ml, M2) pour établir leurs connexions. [0039] Par exemple, cc troisième module électronique M3 peut stocker au moins une clé de sécurité interne de type Original Equipment Manufacturer (ou OEM) et au moins une clé de sécurité externe de type Mobile Network Operator (MNO). [0040] Le premier module électronique Ml est par ailleurs agencé, lorsqu'il doit établir une communication avec l'un des équipements de communication externes EC, pour accéder au troisième module électronique M3 pour obtenir la clé de sécurité externe qu'il stocke et qui est associée à cet équipement de communication externe EC. [0041] De son côté, le deuxième module électronique M2 est agencé, lorsqu'il doit établir une communication avec le réseau de communication interne RC ou l'un des équipements (le communication externes EC, pour accéder au troisième module électronique M3 pour obtenir la clé de sécurité interne qu'il stocke et qui est associée à ce réseau de communication interne RC ou à cet équipement de communication externe EC. [0042] Grâce à ce stockage centralisé de toutes les clés de sécurité externe(s) et interne(s) dans un même troisième module électronique M3, on divise par deux le nombre de cartes à circuits intégrés, ce qui permet non seulement de réduire le coût, le poids et le volume du boîtier télématique BT, mais également la consommation d'énergie de ce dernier (BT). En outre, comme on le comprendra mieux grâce aux exemples décrits plus loin en référence aux figures 2 et 3, ce stockage centralisé permet de réduire la durée nécessaire à l'établissement de certaines communications (ou connexions), notamment du fait que le premier module électronique MI peut désormais contrôler l'établissement d'une communication entre un équipement de communication externe 6 EC et le deuxième module électronique M2 alors même que ce dernier (M2) est en phase de réveil, tout comme il (Ml) peut vérifier si une récente version d'un logiciel est disponible pour un calculateur de son système sans qu'il ait besoin de réveiller le deuxième module électronique M2. [0043] Par exemple, et comme illustré sur la figure 1, les premier M1 et deuxième M2 modules électroniques peuvent être connectés au troisième module électronique M3 via des première Ll et seconde L2 liaisons qui sont parallèles entre elles et indépendantes l'une de l'autre. Cela permet aux premier M1 et deuxième M2 modules électroniques d'accéder au troisième module électronique M3 indépendamment l'un de l'autre, et éventuellement simultanément, et ainsi de gagner du temps. [0044] Par exemple, cette première liaison Ll peut être de type ISO 7816. En variante, la première liaison Ll peut être un bus de type Serial Peripheral Interface (ou SPI - bus de données série synchrone opérant en mode full-duplex). [0045] Egalement par exemple, la seconde liaison L2 peut être un bus de type Serial Peripheral Interface (ou SPI). En variante, la seconde liaison L2 peut être de type ISO 7816. [0046] Egalement par exemple, les premier Ml et deuxième M2 modules électroniques peuvent être connectés entre eux par au moins une troisième liaison L3 choisie parmi une liaison de type PCIe/USB (« Peripheral Component Interconnect Express/ Universal Serial Bus ») et une liaison de type UART (« Universal Asynchronous Receiver Transmitter »). [0047] On notera, comme illustré non lirnitativement sur la figure 1, que le deuxième module électronique M2 peut être connecté à d'autres équipements communicants que ceux du réseau de communication interne RC. Par exemple, il peut être aussi connecté à un médium physique via une liaison Ethernet et/ou à un microcontrôleur à ports d'entrées-sorties à usage général (ou GPIO (« General Purpose Input/Output »)). [0048] On notera également que le troisième module électronique M3 peut, par exemple, être une carte à circuits intégrés de type Embedded Universal Integrated Circuit Card (ou eUICC). [0049] Deux exemples illustrant l'intérêt de l'invention sont décrits ci-après en référence respectivement aux figures 2 et 3. [0050] Dans le premier exemple illustré sur la figure 2, un équipement de communication externe EC transmet un message électronique de type court (ou SMS) au boîtier télématique BT d'un véhicule, par exemple pour lui transmettre une commande, et attend une réponse de ce boîtier télématique BT. [0051] Dans une première étape FI, l'équipement de communication externe EC transmet un SMS au boîtier télématique BT. Ce SMS (contenant, par exemple, une demande de transmission de requête) est reçu par le premier module électronique MI. Dans une 7 deuxième étape F2, le premier module électronique M1 accède au troisième module électronique M3 pour déterminer la clé de sécurité externe associée à cet équipement de communication externe EC. Sensiblement dans le même temps que (ou juste avant) F2, dans une troisième étape F3 le premier module électronique Ml transmet une requête de réveil au deuxième module électronique M2, ce qui déclenche une phase de réveil de ce dernier (M2). Dans une quatrième étape F4, le premier module électronique M1 rapatrie la clé de sécurité externe qu'il vient de déterminer. Dans une cinquième étape F5, le premier module électronique M1 transmet une requête de connexion sécurisée à l'équipement de communication externe EC en utilisant la clé de sécurité externe qu'il vient de récupérer. Dans une sixième étape F6, le deuxième module électronique M2 accède au troisième module électronique M3 pour déterminer la clé de sécurité interne associée à l'équipement de communication externe EC. Dans une septième étape F7, le deuxième module électronique M2 rapatrie la clé de sécurité interne qu'il vient de déterminer pour que la connexion puisse se faire avec l'équipement de communication externe EC. Dans une huitième étape FR, l'équipement de communication externe EC établit la connexion sécurisée autorisée avec le deuxième module électronique M2 via le premier module électronique M1 (alors « transparent »). Dans une neuvième étape F9, l'équipement de communication externe EC transmet une requête de service au deuxième module électronique M2 via le premier module électronique M1 (toujours transparent). Dans une dixième étape F10, le deuxième module électronique M2 transmet une réponse de service à l'équipement de communication externe EC via le premier module électronique MI (toujours transparent). Dans une onzième étape F11, après une pause, le deuxième module électronique M2 met fin à la connexion avec l'équipement de communication externe EC, puis il (M2) repasse dans un état de veille tandis que le premier module électronique MI demeure connecté pour rester joignable. [0052] Comparé à ce qui se passerait avec un boîtier télématique de l'art antérieur, ici le premier module électronique Ml envoie une demande de connexion sécurisée à l'équipement de communication externe EC sans avoir attendu le réveil complet (lu deuxième module électronique M2, bien entendu après avoir récupérée la clé de sécurité externe associée à cet équipement de communication externe EC. Cela permet d'avoir une meilleure réactivité de connexion et un délai d'établissement de la connexion plus court qu'avec un boîtier télématique de l'art antérieur. [0053] Dans le second exemple illustré sur la figure 3, le boîtier télématique BT d'un véhicule veut déterminer auprès d'un équipement de communication externe EC s'il dispose d'une récente mise-à-jour d'un logiciel. [0054] Dans une première étape F1', le premier module électronique MI accède au troisième module électronique M3 pour déterminer la clé de sécurité externe associée à 8 cet équipement de communication externe EC. Dans une deuxième étape F2', le premier module électronique Ml rapatrie la clé de sécurité externe qu'il vient de déterminer. Dans une troisième étape F3' le premier module électronique Ml transmet à l'équipement de communication externe EC une requête de connexion sécurisée en utilisant la clé de sécurité externe qu'il vient de récupérer. Dans une quatrième étape F4', l'équipement de communication externe EC établit la connexion sécurisée autorisée avec le premier module électronique Ml et ce dernier (Ml) ) lui demande s'il dispose d'une version récente d'un logiciel défini. Dans une cinquième étape F5', l'équipement de communication externe EC transmet au premier module électronique Ml un message de réponse lui indiquant, par exemple, qu'il n'y a pas de version récente de ce logiciel défini. Dans une sixième étape F6', le premier module électronique Ml met fin à la connexion avec l'équipement de communication externe EC, puis il (Ml) demeure connecté pour rester joignable. [0055] On notera que pendant toutes ces étapes FI' à F6' le deuxième module électronique M2 n'a pas besoin d'intervenir et donc demeure dans son état de veille, contrairement à cc qui se passe avec un boîtier télématique de l'art antérieur. En d'autres termes, le premier module électronique MI envoie une demande de connexion sécurisée à l'équipement de communication externe EC sans avoir besoin de réveiller le deuxième module électronique M2, bien entendu après avoir récupérée la clé de sécurité externe associée à cet équipement de communication externe EC. Cela permet d'avoir une réduction importante de la consommation électrique du boîtier télématique BT et une optimisation de l'occupation des ressources de l'équipement de communication externe EC. 9 [Revendication I] [Revendication 2] [Revendication 3] [Revendication 4] [Revendication 5] [Revendication 6] REVENDICATIONSBoîtier télématique (BT) destiné à équiper un système comprenant un réseau de communication interne (RC), et comprenant i) un premier module électronique (M ) propre à établir des communications par voie d'ondes avec des équipements de communication externes (EC) au moyen d'au moins une clé de sécurité externe, et ii) un deuxième module électronique (M2) propre à établir des communications avec ledit réseau de communication interne (RC) et avec lesdits équipements de communication externes (EC) via ledit premier module électronique (M1), au moyen d'au moins une clé de sécurité interne, caractérisé en ce qu'il comprend en outre un troisième module électronique (M3) connecté auxdits premier (Ml) et deuxième (M2) modules électroniques et stockant lesdites clés de sécurité externe(s) et interne(s), en ce que ledit premier module électronique (M1) est agencé, lorsqu'il doit établir une communication avec l'un desdits équipements de communication externes (EC), pour accéder audit troisième module électronique (M3) pour obtenir la clé de sécurité externe stockée associée à cet équipement de communication externe (EC), et en ce que ledit deuxième module électronique (M2) est agencé, lorsqu'il doit établir une communication avec ledit réseau de communication interne (RC) ou l'un desdits équipements de communication externes (EC), pour accéder audit troisième module électronique (M3) pour obtenir la clé de sécurité interne stockée associée à ce réseau de communication interne (RC) ou à cet équipement de communication externe (EC). Boîtier télématique selon la revendication 1, caractérisé en ce que lesdits premier (Ml) et deuxième (M2) modules électroniques sont connectés audit troisième module électronique (M3) via des première (L1) et seconde (L2) liaisons parallèles entre elles et indépendantes l'une de l' autre. Boîtier télématique selon la revendication 2, caractérisé en ce que ladite première liaison (Li) est de type ISO 7816. Boîtier télématique selon la revendication 2 ou 3, caractérisé en ce que ladite seconde liaison (L2) est un bus de type Serial Peripheral Interface. Boîtier télématique selon l'une des revendications 1 à 4, caractérisé en ce que ledit troisième module électronique (M3) est une carte à circuits intégrés de type Embedded Universal Integrated Circuit Card. Boîtier télématique selon l'une des revendications 1 à 5, caractérisé en 10 [Revendication 7] ce que ledit troisième module électronique (M3) stocke au moins unc clé de sécurité interne de type Original Equipment Manufacturer et au moins une clé de sécurité externe de type Mobile Network Operator. Système comprenant un réseau de communication interne (RC), caractérisé en cc qu'il comprend en outre un boîtier télématique (BT) selon l'une des revendications précédentes, connecté audit réseau de communication interne (RC). [Revendication 8] [Revendication 9] Système selon la revendication 7, caractérisé en cc qu'il est agencé sous la forme d'un véhicule. Système selon la revendication 8, caractérisé en cc que ledit véhicule est de type automobile.