INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
BREVE DESCRIPTION DES FIGURES Les figures sont présentées à titre indicatif et nullement limitatif de l’invention. La est un schéma synoptique illustrant l’enchaînement des étapes d’un procédé selon l’invention. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une première étape du procédé selon l’invention. La représente un histogramme des niveaux de gris d’une image tridimensionnelle cérébrale. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une deuxième étape du procédé selon l’invention. La montre un premier exemple en haut et un deuxième exemple en bas comportant de la gauche vers la droite, une image cérébrale, une lésion à identifier dans l’image et une prédiction de lésion fournie par le procédé selon l’invention à partir de l’image. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une troisième étape du procédé selon l’invention. La montre un premier exemple en haut et un deuxième exemple en bas comportant de la gauche vers la droite, une image cérébrale, un thrombus à identifier dans l’image et une prédiction de thrombus fournie par le procédé selon l’invention à partir de l’image. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une quatrième étape du procédé selon l’invention.
L’invention concerne un procédé automatique de segmentation d’un thrombus et d’une lésion dans une image tridimensionnelle cérébrale d’un patient, le thrombus ayant engendré une lésion cérébrale entraînant un accident vasculaire cérébral ou AVC chez le patient.
On entend par « segmentation d’un élément dans une image tridimensionnelle », l’identification de chaque voxel de l’image appartenant à l’élément, un voxel se définissant comme un pixel tridimensionnel.
L’image tridimensionnelle est acquise par un système d’imagerie selon une ou plusieurs modalités, autrement appelées séquences, ayant chacune des paramètres d’acquisition différents.
L’image tridimensionnelle est par exemple acquise par scanner à rayons X ou par imagerie par résonance magnétique ou IRM.
Si l’image tridimensionnelle est acquise par une séquence ou une combinaison de séquences IRM, elle peut par exemple être acquise selon au moins une des modalités suivantes : une séquence par image écho planaire ou image EPI (pour « Echo Planar Image » en anglais), une séquence par pondération en diffusion ou DWI (pour « Diffusion Weighted Images » en anglais), une séquence en inversion-récupération atténuée par un fluide ou FLAIR (pour « Fluid Attenuated Inversion Recovery » en anglais), une séquence temps de vol ou ToF (pour « Time of Flight » en anglais), une séquence par angiographie pondérée en fonction de la susceptibilité ou SWAN (pour « Susceptibility Weighted ANgiography » en anglais), une séquence par pondération de la susceptibilité ou SWI (pour « Susceptibility-Weighted Images » en anglais), une séquence en pondération en diffusion DWI avec application uniquement du champ magnétique principal B 0 , c’est-à-dire avec un degré de pondération de diffusion égal à 0, ou encore une séquence phase du signal radiofréquence de l’angiographie pondérée en fonction la susceptibilité phase SWAN.
Pour chaque modalité, un ensemble d’images est obtenu à partir de l’image tridimensionnelle acquise selon la modalité, l’ensemble d’images comportant une pluralité d’images correspondant chacune à une section de l’image tridimensionnelle acquise selon la modalité, selon un plan de section perpendiculaire à un axe donné.
Les plans de section des images d’un ensemble d’images sont parallèles entre eux et non confondus, c’est-à-dire que les plans de section sont espacés entre eux selon l’axe auquel ils sont perpendiculaires, et peuvent être chacun associé à une position sur l’axe.
L’axe est par exemple transversal.
Les plans de section sont identiques pour chaque modalité, c’est-à-dire que chaque ensemble d’images présente le même nombre d’images et chaque image d’un ensemble d’images a une image correspondante dans chaque autre ensemble d’images.
Procédé et système d’authentification par un équipement vérificateur d’un dispositif à authentifier équipé d’un circuit PUF La présente invention concerne un procédé et un système d’authentification par un équipement vérificateur d’un dispositif à authentifier, par exemple un objet connecté, équipé d’un circuit électronique réalisant une fonction physique non reproductible.
Lorsqu’un objet connecté cherche à rejoindre un réseau de communication, il est nécessaire de mettre en œuvre une authentification de cet objet connecté. Dans le contexte des objets connectés, une telle authentification est également désignée par enrôlement (« device enrollment » dans la littérature anglo-saxonne). Une telle authentification permet de vérifier l'origine et d'autres informations de l'objet connecté afin d'éviter qu'un tiers malveillant puisse avoir accès au réseau de communication.
Selon l’état de l’art, il existe de nombreux protocoles d’authentification qui sont basés sur le fait d’équiper chaque objet connecté devant s’authentifier d’un circuit électronique réalisant une fonction physique non reproductible (« physical unclonable function » ou PUF dans la littérature anglo-saxonne). Un tel circuit électronique est désigné par « circuit PUF » dans toute la présente divulgation. Un tel circuit PUF est un circuit qui identifie de manière unique l’objet connecté qui en est équipé, en fournissant en sortie des réponses spécifiques associées respectivement à des défis (« challenge » dans la littérature anglo-saxonne) particuliers reçus en entrée dudit circuit PUF. La fonction ainsi réalisée par un circuit PUF, qui donne en sortie la réponse binaire associée à un défi (séquence de bits) reçu en entrée, doit être unique pour chaque objet connecté.
Les protocoles d’authentification qui reposent sur un circuit PUF utilisent un ensemble prédéfini de paires défi-réponse (« challenge-response pairs » ou CRP dans la littérature anglo-saxonne) qui sont généralement imposés par le fabricant du circuit PUF.
Cependant, ces techniques ne sont pas adaptées dans le cas de multiples tentatives d'authentification d’un même objet connecté au cours de son cycle de vie par plusieurs utilisateurs, car ces CRPs seront réutilisées, ce qui pourrait conduire à des attaques par rejeu. Il faut donc prévoir un plus grand nombre de CRPs pour chaque objet connecté, pour pouvoir varier les CRPs utilisés d’une authentification à une autre.
Toutefois, avec le nombre croissant d’objets connectés déployés, la nécessité de stocker un grand nombre de CRPs pour chaque objet connecté augmentera de manière exponentielle l'espace de stockage de données requis pour les paramètres d'authentification (CRPs) de tous les objets connectés.
Afin de réduire la quantité de données à stocker, il a été proposé d’utiliser un modèle du circuit PUF, qui est désigné ci-après par « modèle PUF ». Un tel modèle PUF est un modèle numérique qui permet de simuler la fonction du circuit PUF et doit en principe fournir la même réponse à un défi donné que le circuit PUF, au moins avec une forte probabilité (par exemple égale ou supérieure à 98%. Typiquement, un tel modèle PUF est fourni par le fabricant du circuit PUF, et peut être obtenu par exemple par apprentissage supervisé à partir des CRPs obtenus avec les réponses fournies par le circuit PUF auxquelles le fabricant a initialement accès.
Toutefois, il va de soi que si le comportement d’un circuit PUF peut être modélisé par un modèle PUF, la génération d’un tel modèle PUF peut également être envisagée par un tiers malveillant qui aurait accès à un nombre suffisant de CRPs. En outre, il n’est à ce jour pas possible de conclure avec certitude qu’une architecture donnée de circuit PUF serait immunisée contre ce type d’attaques de modélisation par apprentissage automatique. L’utilisation d’un modèle PUF d’un circuit PUF pour réaliser l’authentification d’un objet connecté intégrant ce circuit PUF est en soi une admission que les réponses du circuit PUF pourraient être prédites par un tiers malveillant qui aurait suffisamment de CRPs et la puissance de calcul nécessaire pour construire un modèle PUF.
En outre, certaines attaques peuvent être basées sur le fait qu’un tiers malveillant obtiendrait une copie du modèle PUF utilisé pour l’authentification, de sorte qu’il serait souhaitable de proposer une solution robuste aux attaques même dans le cas où une copie du modèle PUF du circuit PUF serait obtenue par un tiers malveillant.
Résumé La présente divulgation a pour objectif de remédier à tout ou partie des limitations des solutions de l’art antérieur, notamment celles exposées ci-avant, en proposant une solution qui permette d’améliorer la sécurité d’un procédé d’authentification basé sur l’utilisation d’un circuit PUF au niveau d’un dispositif à authentifier, tel qu’un objet connecté, et d’un modèle PUF au niveau d’un équipement vérificateur, en charge de l’authentification du dispositif à authentifier.
En outre, la présente divulgation vise à proposer une solution qui soit robuste aux attaques même dans le cas où une copie du modèle PUF du circuit PUF serait obtenue par un tiers malveillant, au moins dans certains modes de réalisation.
En outre, la présente divulgation vise à proposer une solution qui puisse être mise en œuvre par une simple mise à jour logicielle au niveau de l’objet connecté à authentifier, sans avoir à remplacer le circuit PUF intégré dans cet objet connecté.
La et la représentent respectivement les variations de température T et de pression P de l’eau dans les directions X et Y, obtenues au moyen de la modélisation de référence après 1000 jours. On peut observer que l'eau froide avance rapidement le long des fractures orientées selon la direction Y entre le puits injecteur PI et le puits producteur PP, car les surfaces d'échange entre un bloc matriciel et les fractures dans cette direction sont relativement petites pour l’échange thermique. La température le long des fractures dans la direction X varie très lentement, en raison de la grande surface d'échange avec le bloc matriciel et de mauvaises connexions thermiques entre les fractures dans les directions X et Y. La température de fracture autour d'un bloc matriciel est ainsi très différente selon les orientations de fractures. On peut cependant observer que le front de pression se déplace de manière assez uniforme et que la pression de fracture est également uniforme autour d'un bloc matriciel, quelle que soit l'orientation des fractures.
La représente les variations de température T de l’eau dans les directions X et Y déterminées au moyen du modèle double porosité selon l’art antérieur dans le milieu fractures, après 1000 jours. On peut observer sur cette figure que le front de températures se déplace lentement du puits injecteur PI vers le puits de producteur PP. En fait, dans la modélisation de référence, l'échange thermique entre les fractures en Y et un bloc matriciel est relativement faible, en raison de la petite surface de contact. La matrice ne peut pas fournir suffisamment de chaleur pour chauffer l'eau froide en déplacement. Mais avec le modèle double-porosité selon l’art antérieur, l'échange matrice-fracture se produit uniformément avec toutes les fractures entourant le bloc matriciel. L'échange avec les fractures dans la direction X est plus important que celui avec les fractures dans la direction Y, car la surface de contact est plus grande avec les fractures parallèles à la direction X. En d'autres termes, le modèle double porosité selon l’art antérieur surestime fortement l'échange thermique entre matrice et fractures dans cet exemple. Le front de l'eau froide ne peut donc pas avancer très rapidement.
Les figures 8 à gauche et 8 à droite (respectivement 9 à gauche et 9 à droite) représentent les variations de température T (respectivement de pression P) de l’eau dans les directions X et Y déterminées au moyen du modèle double porosité-double fracture selon l’invention, dans le milieu X-fractures ( à gauche ; respectivement 9 à gauche) et dans le milieu Y-fractures ( à droite ; respectivement 9 à droite), après 1000 jours. On peut observer que dans le milieu X-fractures, qui représente les fractures orientées selon la direction X, le front de températures se déplace lentement du puits injecteur PI vers le puits producteur PP. Ce résultat est proche des températures dans les fractures orientées selon l’axe X prédites par la modélisation de référence. Dans le milieu Y-fractures, qui représente les fractures orientées selon la direction Y, le front de températures froides se déplace rapidement, de manière similaire (en moyenne) à l’avancée du front dans les fractures selon la direction Y de la modélisation de référence. En effet, dans le modèle double porosité-double fracture selon l’invention, on considère séparément les échanges entre un bloc matriciel et les fractures orientées selon la direction X et selon la direction Y. Par conséquent, la percée thermique peut être prédite avec plus de précision. Par ailleurs, comme observé en figures 9 à gauche et 9 à droite, les pressions dans les deux milieux X-fractures et Y-fractures sont presque identiques entre elles, et proches de celles prédites par la modélisation de référence, ce qui démontre bien que le modèle double porosité-double fracture selon l’invention est également approprié pour la modélisation des pressions.
Ainsi, le modèle de double porosité-double fracture selon l’invention permet une simulation plus fiable des écoulements dans les milieux fracturés dans lequel des échanges thermiques par conduction sont importants, en particulier dans le cas d’une exploitation géothermique.
L’unité de traitement 100 comprend aussi un module de gestion 120 du bouton mécanique 12. Le module 120 de gestion permet de générer un signal de commande lorsque le bouton mécanique 12 est sollicité, c'est-à-dire lorsqu’un utilisateur appuie sur le bouton mécanique 12. Le module 120 de gestion est de préférence réalisé sous forme d’un circuit électrique ou électronique. Le module de gestion 120 peut être un circuit électronique qui permet de traiter l’information d’un appui pour ne prendre en compte cet appui qu’au-delà d’une durée minimum pour éviter les erreurs.
Dans le schéma de la , le module de gestion 120 est configuré pour fournir le signal du bouton mécanique à une sortie 170 de l’unité de traitement qui est connectée au système 7 de verrouillage désactivable, tel qu’une ventouse électromagnétique, de manière à pouvoir commander le déverrouillage de la porte. Ceci est utile en cas de disfonctionnement électrique de la centrale de contrôle d’accès.
Avantageusement, l’unité de traitement 100 comprend un module de temporisation 180 qui permet de temporiser l’ouverture de la porte suite à l’émission d’un signal de commande d’ouverture à partir du bouton mécanique. On peut prévoir que la temporisation d’ouverture de la porte soit préférentiellement gérée par la centrale de contrôle d’accès. Cependant, en cas de dysfonctionnement de la centrale de contrôle d’accès, ce module de temporisation 180 permet d’assurer une durée d’émission suffisante du signal de commande issu du bouton mécanique 12 pour la commande d’ouverture de la porte.
Comme illustré à la , le module de gestion 120 fournit aussi le signal du bouton mécanique à la sortie 160 du dispositif de commande.
Dans l'exemple illustré aux figures, la sortie 160 du dispositif de commande est connectée à une centrale 6 de contrôle d’accès configurée pour piloter un système de commande d’ouverture de porte qui comprend par exemple le dispositif 7 de verrouillage de porte et éventuellement un système d’entrainement en déplacement de la porte comme expliqué ci-après.
La centrale 6 de contrôle d’accès peut fournir un retour d’information à un module de gestion 130 d’un dispositif indicateur 13 du dispositif de commande pour informer l’utilisateur que le signal de commande d’ouverture de porte suite à la sollicitation du bouton mécanique ou du capteur sans contact 11 a été reçu et qu’une commande d’ouverture (déverrouillage) de porte a bien été émise par la centrale 6 de contrôle d’accès. Le dispositif indicateur 13 peut se présenter sous forme d’une interface lumineuse, par exemple comprenant des voyant lumineux.
Pour éviter qu’une sollicitation continue du capteur sans contact 11 inhibe la centrale de contrôle d’accès, l’unité de traitement 100 comprend un module de filtrage 150.
Le module de filtrage 150 est configuré pour filtrer le signal de commande issu du capteur sans contact 11 pour générer un signal filtré d’une durée prédéfinie D115 (voir ), c'est-à-dire d’une largeur temporelle égale à une valeur prédéfinie.
Le module de filtrage 150 fournit le signal filtré à la sortie 160 de l’unité de traitement 100 qui est raccordée à la centrale 6 de contrôle d’accès.
Le module de filtrage 150 est configuré pour générer un nouveau signal filtré à réception d’un nouveau signal du capteur sans contact 11 qui présente un front montant. On peut considérer que le front descendant d’un signal issu du capteur sans contact correspond au passage du capteur sans contact d’un état 1 (sollicité) à un état 0 (non sollicité).
Centrale de contrôle d’accès
Dans l'exemple illustré aux figures et comme expliqué ci-dessus, la centrale 6 de contrôle d’accès est connectée au dispositif 1 de commande. La centrale 6 de contrôle d’accès peut être formée par une micro-centrale disponible auprès de la société URMET France sous la référence VIGIK CV1S2.
En particulier, selon un mode de réalisation illustré à la , la sortie 160 de l’unité de traitement 100 est connectée à la centrale 6 de commande d’accès qui est configurée pour commander le dispositif 7 de verrouillage de porte, tel qu’une ventouse électromagnétique. L’unité de traitement 100 du dispositif 1 de commande peut ainsi transmettre à ladite centrale 6 de contrôle d’accès un signal filtré généré à partir du signal du capteur sans contact 11, ou un signal de commande issu du bouton mécanique 12.
Dispositif de verrouillage
Selon un mode de réalisation, le dispositif 7 de verrouillage comprend un mécanisme de verrouillage et une unité de pilotage dudit mécanisme. Dans l'exemple illustré aux figures, le dispositif 7 de verrouillage est une ventouse électromagnétique qui permet de verrouiller la porte à l’état alimenté d’un électroaimant de la ventouse et de la déverrouiller à l’état non alimenté.
L’unité de pilotage du dispositif 7 de verrouillage est configurée pour recevoir un signal de commande d’ouverture issu du bouton mécanique 12 par la sortie 170 du dispositif de commande ou un signal de commande d’ouverture de la part de la centrale 6 de contrôle d’accès à la suite de la sollicitation du capteur sans contact 11 ou du bouton mécanique. Lorsque l’unité de pilotage du dispositif 7 de verrouillage reçoit ce signal de commande d’ouverture elle inactive le mécanisme de verrouillage, par exemple par coupure de l’alimentation électrique d’un électroaimant dans le cas d’une ventouse électromagnétique.
Les règles de sécurité peuvent être différenciées en fonction du réseau cible, c’est-à-dire qu’un premier ensemble de règles de sécurité peut être prévu pour toutes données destinées à être transférées vers le premier réseau (10) et qu’un deuxième ensemble de règles de sécurité peut être prévu pour toutes données destinées à être transférées vers le deuxième réseau (20).
Si au moins une règle de sécurité prédéfinie est violée, par exemple si le transfert est illégitime, ou si les données issues du premier réseau (10) et en cours de transfert présentent un risque en termes de sécurité ou ne sont pas authentiques, il convient de ne pas autoriser (S9) le transfert de ces données, c’est-à-dire de ne pas les transmettre vers le deuxième réseau (20). Pour ce faire, il peut être prévu que le contrôleur de transfert (30) commande (S10) l’effacement desdites données.
Si à l’inverse, aucune des règles de sécurité prédéfinies n’est violée, c’est-à-dire si par exemple le contrôleur de transfert considère que le transfert est légitime et que les données issues du premier réseau (10) et en cours de transfert sont à la fois authentiques et sans risque de sécurité pour le deuxième réseau (20), alors il peut être prévu que le contrôleur de transfert (30) en autorise (S8) le transfert.
Il peut être prévu que le contrôleur de transfert (30) consigne dans un journal les résultats de chaque vérification ou de chaque action de contrôle résultant soit en une autorisation du transfert soit en un effacement de données stockées sur la mémoire de transfert (40).
Ensuite, le dispositif de transfert de données numériques peut activer (S11) le troisième canal de transmission (C3), par exemple sur commande issue du contrôleur de transfert (30).
Lorsque le troisième canal de transmission (C3) est activé, la mémoire de transfert (40) est, comme déjà indiqué, raccordée au deuxième réseau (20) et déconnectée à la fois du premier réseau (10) et du contrôleur de transfert (30). A ce stade, les données en cours de transfert stockées sur la mémoire de transfert (40) ont préalablement fait l’objet d’une autorisation de transfert par le contrôleur de transfert (30), sans quoi elles en auraient été effacées.
Un échange de données (S13) entre la mémoire de transfert (40) et la deuxième mémoire de partage (22) est alors possible.
Cet échange peut être assuré par le deuxième contrôleur (21) assumant du point de vue du deuxième réseau (20) les fonctions de partages réseau pour accueillir, respectivement, les données entrantes et sortantes.
En effet, lorsque le troisième canal de transmission (C3) est activé, le deuxième contrôleur (21) peut déplacer les données issues de la mémoire de transfert (40) vers la deuxième mémoire de partage (22). Le deuxième contrôleur (21) peut également, en parallèle, déplacer les données issues du deuxième réseau (20) et préalablement stockées sur la deuxième mémoire de partage (22) vers la mémoire de transfert (40).
Une communication entre le contrôleur de transfert (30), en tant que contrôleur maître, et le deuxième contrôleur (21), en tant que contrôleur esclave, peut être prévue et s’effectuer de manière analogue à celle déjà décrite entre le contrôleur de transfert (30) et le premier contrôleur (11).
Un exemple d’une telle communication est décrit ci-après. Dans un premier temps, suite à l’activation du troisième canal de transmission (C3), le contrôleur de transfert (30) signale au deuxième contrôleur (21), par un échange tout ou rien, que le transfert des données peut débuter (S12). Dans un deuxième temps, un transfert unidirectionnel ou bidirectionnel de données s’effectue (S13) entre la deuxième mémoire de partage (22) et la mémoire de transfert (40), ce transfert étant piloté par le deuxième contrôleur (21). Enfin, dans un troisième temps, le deuxième contrôleur (21) signale au contrôleur de transfert (30), toujours par un échange tout ou rien, que le transfert de données est terminé (S14).
On a décrit le mécanisme général du transfert d’un premier ensemble de données depuis la première mémoire de partage (12) en lien avec le premier réseau (10) jusqu’à la deuxième mémoire de partage (22) en lien avec le deuxième réseau (20). Les données présentes sur la deuxième mémoire de partage (22) peuvent alors être diffusées (S15) dans le deuxième réseau (20).
Selon ce mécanisme, le transfert peut être piloté de bout en bout par un unique contrôleur maître, à savoir le contrôleur de transfert (30), dont le fonctionnement peut être rendu totalement indépendant de toute entité en lien avec l’un ou l’autre des deux réseaux (10, 20). En particulier, la deuxième interface (2) ne peut physiquement être raccordée à la première ou à la troisième interface (1, 3).
Par ailleurs, aucune liaison n’étant jamais établie entre la première interface (1) et la troisième interface (3), ni le contrôleur de transfert (30) ni le dispositif de transfert de données numériques ne peuvent être physiquement court-circuités.
Le mécanisme général du transfert d’un deuxième ensemble de données en sens inverse, c’est-à-dire depuis la deuxième mémoire de partage (22) en lien avec le deuxième réseau (20) jusqu’à la première mémoire de partage (12) en lien avec le premier réseau (10) fonctionne de manière analogue au transfert qui vient d’être décrit.