INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
La première clé de cryptage unique et spécifiquement dédiée à un nœud du système permet de chiffrer les données échangées avec l’équipement de supervision en garantissant leur protection sur l’ensemble de la transmission (de bout en bout). La deuxième clé de chiffrage, propre aux liaisons courtes portées à l’ensemble des nœuds du système, permet de protéger les données de signalisation échangées et de garantir la protection de la liaison courte portée face aux menaces potentielles (de type DoS par ex.), en filtrant les données transmises dans le système.
Les clés de cryptage peuvent être fixes et chargées lors de l’initialisation du dispositif, ou être renouvelables par l’équipement de supervision. Dans ce cas, la nouvelle clé de cryptage d’un dispositif est transmise chiffrée, soit par la clé associée aux liaisons courtes portées et connue de tous les nœuds, soit à l’aide d’une clé de cryptage utilisée uniquement pour la transmission de clés de cryptage, soit à l’aide de la clé spécifiquement dédiée au nœud concerné, la dernière solution étant celle garantissant le plus haut niveau de confidentialité.
Selon un mode de réalisation, la balise 200 comprend un élément sécurisé 211 configuré pour stocker la clé associée aux liaisons courtes portées. L’élément sécurisé peut être également utilisé pour stocker d’autres informations confidentielles, comme par exemple une clé de session unique utilisée pour établir une liaison de confiance entre le nœud et la balise, une clé utilisée pour crypter les clés de cryptages transmises dans le système, etc... Un élément sécurisé (en anglais Secured Element ) est une puce spécifique réputée inviolable, capable d'accueillir en toute sécurité des applications et de stocker des données confidentielles. Les éléments sécurisés sont soumis à des règles et exigences de sécurité fixées par des autorités de confiance (par exemple Common Criteria V3.1, EAL (en anglais Evaluation Assurance Level ), etc…).
L’élément sécurisé 211 et les moyens de calcul 210 communiquent par l’intermédiaire d’un lien 212, sur lequel les moyens de calcul sollicitent et récupèrent la clé de cryptage associée aux liaisons courtes portées lorsqu’ils chiffrent/déchiffrent les données échangées avec les nœuds. Une fois utilisées, la clé de cryptage est supprimée des moyens de calculs 201, de sorte qu’ils ne conservent aucune clé.
Avantageusement, la liaison 212 est enfouie sous une ou plusieurs couches de diélectrique dans le circuit imprimé, de manière à rendre la transmission de clés sur cette liaison robuste aux tentatives d’espionnage par analyse des données circulant sur les pistes (par exemple en utilisant une sonde).
Dans un autre mode de réalisation, le chiffrage/déchiffrage des trames est mis en œuvre par l’élément sécurisé 211, de sorte que la clé de cryptage associée aux liaisons courtes portées ne sorte jamais en clair de l’élément sécurisé. Dans ce cas, les données à chiffrer/déchiffrer sont envoyées par les moyens de calcul 210 à l’élément sécurisé sur la liaison 212, et les données chiffrées/déchiffrées sont renvoyées sur cette même liaison.
La fonction d’authenticité permet d’assurer que les données reçues proviennent d’un équipement appartenant au système de localisation et d’échange de données. Les trames provenant d’équipements tiers sont rejetées, afin de protéger le système contre les attaques par déni de service. La fonction d’intégrité consiste à transmettre un motif permettant de s’assurer que les données échangées n’ont pas été altérées par une personne non autorisée. Ces deux fonctions sont imbriquées.
La fonction d’authenticité s’exécute en deux étapes : une première étape au cours de laquelle les moyens de calcul 210 analysent un identifiant transmis dans la signalisation chiffrée des trames échangées afin de s’assurer que l’émetteur appartient bien au système de localisation et d’échange de données. Cette analyse se fait en confrontant l’identifiant reçu avec une liste d’équipements autorisés , transmise par l’équipement de surveillance, mise à jour lors de l’introduction/suppression d’équipements dans le système et éventuellement stockée de manière sécurisée dans l’élément sécurisé 211. Les moyens de calcul sont configurés pour rejeter les trames transmises par des équipements n’appartenant pas au système ; une deuxième étape au cours de laquelle les moyens de calcul 210 vérifient l’intégrité des données utiles chiffrées échangées avec les nœuds en utilisant le motif d’intégrité. Cette étape garantit la provenance des messages puisque, le motif d’intégrité faisant partie de la signalisation transmise chiffré par la clé associée aux liaisons courtes portées, il ne peut être juste que si l’émetteur a connaissance de cette clé. Les moyens de calcul sont configurés pour rejeter les trames non intègres.
Le motif d’intégrité peut par exemple être un motif de contrôle de redondance cyclique (CRC, en anglais Cyclic Redundancy Check ), un motif de Hash comme un motif SHA (en anglais Secure Hash Algorithm , ou algorithme de hachage sécurisé), ou tout autre motif permettant de garantir l’intégrité des données reçues.
La fonction d’intégrité a donc deux rôles distincts : son rôle conventionnel, qui consiste à identifier et supprimer les trames altérées, par exemple pour cause de mauvaise transmission, un rôle propre à l’invention, en lien avec la fonction d’authenticité, qui lui permet d’éviter les risques d’usurpation de l’identité de nœuds du réseau.
La fonction d’unicité comprend l’introduction, dans la signalisation transmise chiffrée par la clé associée aux liaisons courtes portées, d’un marquant horaire permettant d’identifier de manière unique la trame comme par exemple un instant d’émission de la trame ou une valeur incrémentée à chaque émission de trame. Elle permet de protéger le système contre le rejeu de trames, typique des attaques par déni de service. Les moyens de calcul 210 des balises 200 sont configurés pour mémoriser l’identifiant transmis non chiffré dans les trames reçues des nœuds, et le marquant associé. Ces éléments sont comparés à ceux des trames précédemment reçues. Les moyens de calcul 210 sont configurés pour rejeter les trames ayant déjà été reçues dans une période de temps donnée. Le marquant étant transmis dans la partie chiffrée des trames, il est protégé contre les modifications par les fonctions d’intégrité et d’authenticité.
La balise sécurisée selon l’invention peut être configurée pour retransmettre aux passerelles les identifiants et données acquises des nœuds dès qu’ils sont disponibles, comme dans le brevet US 9.652.955 B1, ou dans des créneaux temporels et fréquentiels définis par l’équipement de supervision, comme dans la demande de brevet EP 3.506.691 A1. Dans ce dernier cas, les données utiles reçues des différents nœuds peuvent être transmis concaténés à la passerelle, associés à des données de signalisation (motif d’intégrité, marquant horaire) communs, afin d’optimiser l’utilisation de la bande passante.
La représente de manière schématique une transmission de données dans un mode de réalisation d’un système de localisation et d’échange de données selon l’invention comprenant un nœud 301, une balise 302, une passerelle 303 et un équipement de supervision 304. Dans ce mode de réalisation, les fonctions d’intégrité, authenticité et unicité sont mises en œuvre uniquement sur la liaison courte-portée.
Dans le sens nœud vers équipement de supervision, les moyens de calcul du nœud 301 préparent un paquet à transmettre à l’équipement de supervision. Ce paquet comprend des données utiles, comme par exemple des données acquises de divers capteurs, des informations sur le niveau de batteries du nœud ou autres. Les données utiles 310 sont chiffrées à l’aide d’un algorithme de chiffrement utilisant la clé dédiée du nœud 301, connue de lui et de l’équipement de supervision seulement. Le paquet 311 correspond aux données utiles chiffrées par l’algorithme de cryptage utilisant la clé dédiée au nœud.
De façon complémentaire à la butée axiale primaire 73, chaque épaulement de retenue forme une butée axiale primaire 53 respective, en formant une surface perpendiculaire à l’axe Y1, tournée en sens opposé de la direction Y.
De façon complémentaire aux butées de rotation 74, chaque cannelure en creux forme deux butées de rotation 54, qui sont des surfaces parallèles ou orthoradiales à l’axe Y1, pour empêcher une rotation. Pour une même cannelure en creux, les butées 54 se font face.
Comme montré sur les figures 4 à 6, lorsque le coulisseau 70 est en position d’empêchement, ce qui peut se produire seulement en configuration de fonctionnement, les cannelures en relief et en creux sont reçues les unes dans les autres, ce qui autorise le coulissement du coulisseau 70 par rapport au verrou 50 et au boîtier 1 suivant l’axe Y1, tout en empêchant la rotation du verrou 50 par rapport au coulisseau 70 et au boîtier 1 autour de l’axe Y1. En effet, les cannelures étant reçues les unes dans les autres, les butées de rotation 54 font face aux butées de rotation 74 et empêchent la rotation du verrou 50 par rapport au coulisseau 70 autour de l’axe Y1 en venant en butée anti-rotation. Autrement dit, les butées de rotation 54 sont à la même hauteur que les butées 74 le long de l’axe Y1 pour empêcher le verrou 50 d’être mise en position de consignation.
Comme montré sur les figures 7 à 10, lorsque le système de consignation est en configuration de fonctionnement avec le coulisseau 70 en position d’autorisation et lorsque le système de consignation est en configuration de consignation avec le coulisseau 70 en position de retenue, ici identique à la position de consignation, les cannelures en relief ont franchi les cannelures en creux, du fait du coulissement du coulisseau 70 en sens opposé de la direction Y par rapport au verrou 50. Alors, la rotation du verrou 50 n’est plus empêchée, car les butées de rotation 54 et 74 sont axialement décalées suivant l’axe Y1, c’est-à-dire sont à une hauteur différente suivant l’axe Y1. En particulier, les butées 54 sont dans la direction Y par rapport aux butées 74, les cannelures en relief du coulisseau 70 étant alors reçues dans une partie radialement élargie du conduit du verrou 50, où elles ne rencontrent pas d’obstacle lors de la rotation du verrou 50. Alors, les cannelures ainsi libérées, le coulisseau 70 autorise le verrou 50 à pivoter autour de l’axe Y1 entre l’orientation de consignation et l’orientation de déconsignation.
En configuration de fonctionnement, comme montré sur les figures 4 à 8, les butées axiales 53 et 73 sont disposées de sorte à être décalées l’une par rapport à l’autre autour de l’axe Y1. En l’espèce les butées 73 sont disposées à un quart de tour autour de l’axe Y1 par rapport aux butées 53, puisque le verrou 50 est en orientation de déconsignation. Dans le cas des figures 4 à 6 où le coulisseau 70 est en position d’empêchement, les butées 53 et 73 ne sont pas à la même hauteur suivant l’axe Y1. En particulier, les butées 73 sont dans la direction Y par rapport aux butées 53. Dans le cas des figures 7 et 8, les butées 53 et 73 sont à la même hauteur parallèlement à l’axe Y1, mais sont désalignées de sorte à ne pas entrer en butée lorsque le coulisseau 70 est entraîné vers la position d’empêchement. Grâce à ces dispositions concernant les butées 53 et 73, en configuration de fonctionnement, le coulisseau 70 est autorisé à coulisser entre les position d’empêchement et d’autorisation sous l’action des électro-actionneurs 28, via les commutateurs 23.
Comme montré sur les figures 9 et 10, en configuration de consignation, les butées axiales primaires 53 et 73 sont disposées de sorte à être en regard l’une de l’autre parallèlement à l’axe Y1. Il en résulte que le verrou 50 retient le coulisseau 70 en position de retenue, en empêchant le coulisseau de coulisser suivant la direction Y. Alors, les appareils 20 n’ont pas la possibilité de tracter le coulisseau 70 et de basculer en configuration de conduction. En pratique, dans cette configuration, non seulement les cannelures en relief du coulisseau 70 ont franchi les cannelures en creux du verrou 50, mais aussi le verrou 50 a pivoté par rapport au coulisseau 70 de sorte que les cannelures en relief se trouvent axialement en regard des épaulements de retenue correspondants. Alors, les butées axiales 73, formées par les cannelures en relief, viennent en appui dans la direction Y contre les butées axiales 53, formées par les épaulements de retenue, de sorte que le verrou 50 retient axialement le coulisseau 70.
Pour le mode de réalisation des figures 4 à 12, le coulisseau 70 peut être ramené dans la position d’empêchement directement par les appareils 20 via les commutateurs mécaniques 23, alors que le coulisseau 70 a été relâché de sa position de retenue par déplacement du verrou 50 jusqu’à la position de déconsignation.
En variante, en fonction des caractéristiques des électro-actionneurs 28 et des commutateurs 23 choisis, on peut prévoir un ressort, dit « ressort de coulisseau », qui exerce un effort élastique sur le coulisseau 70 parallèlement à l’axe Y, en prenant appui sur le boîtier 1, tendant à déplacer le coulisseau 70 vers la position d’empêchement alors que le coulisseau 70 est en position de retenue.
On prévoit avantageusement que le verrou 50 actionne mécaniquement l’appareil 40 sans pièce intermédiaire, comme montré aux figures 4 à 12. Pour cela, le verrou 50 comprend avantageusement une rampe 56. La rampe 56 se présente sous la forme d’une came, qui est radiale par rapport à l’axe Y1 et est ici en relief. La rampe 56 est formée sur la partie interne 52 du verrou 50.
Quelle que soit l’orientation du verrou 50, la rampe 56 est disposée à hauteur de la commande 44 suivant l’axe Y1. Comme montré sur les figures 4 à 8, la rampe 56 est tournée à l’écart de la commande mécanique 44, ici d’un quart de tour, lorsque le verrou 50 est dans l’orientation de déconsignation, de façon à ne pas actionner la commande 44. Autrement dit, la rampe 56 est dégagée de la commande mécanique 44 de l’appareil 40 lorsque le système de consignation est en configuration de fonctionnement. La commande 44 prend alors librement la position correspondant à la configuration de conduction de l’appareil 40, par exemple sous l’action du ressort interne de l’appareil 40.
Comme montré sur les figures 9 et 10, alors que le verrou 50 est dans l’orientation de consignation, la rampe 56 est tournée de façon à appuyer contre la commande 44, radialement vers l’extérieur, notamment contre l’action du ressort interne de l’appareil 40 s’il est prévu. La commande 44 étant ainsi actionnée par la rampe 56 du verrou 50, l’appareil 40 est en configuration d’isolement.
Sur l’extérieur du boîtier 1, la partie externe 51 du verrou 50 comprend un orifice de consignation 55 qui, lorsqu’il n’est pas masqué, est configuré pour recevoir un ou plusieurs cadenas 61. Plus précisément, c’est une anse de verrouillage respective de chaque cadenas qui est reçue dans l’orifice 55, comme montré sur la .
Le système de consignation comprend aussi un système de masquage, visible notamment sur les figures 11 et 12, comprenant ici un volet 62, un doigt 64 et un orifice de verrouillage 65.
Le volet 62 est monté sur la partie externe 51 du verrou 50, en étant mobile par rapport à la partie externe 51, entre une position de masquage où le volet 62 masque l’orifice de consignation 55, comme montré sur les figures 5, 7 et 9, pour empêcher l’orifice de consignation 55 de recevoir les cadenas 61, et une position de libération, comme montré sur la , où le volet 62 libère l’orifice de consignation 55 pour que l’orifice 55 puisse recevoir les cadenas 61. Pour être ainsi mobile, le volet 62 est par exemple pivotant par rapport au verrou 50 autour d’un axe R62 fixe par rapport au verrou 50, l’axe R62 étant radial ou perpendiculaire par rapport à l’axe Y1. Lorsque le verrou est en position de consignation, le technicien peut actionner le volet 62 à l’aide d’une commande manuelle, ici un bouton 63.
Lorsque les cadenas 61 sont reçus dans l’orifice 55 avec le volet 62 en position de libération, les cadenas 61 empêchent le volet 62 d’être mis en position de masquage, par coopération mécanique entre les cadenas 61 et le volet 62. Par exemple, les cadenas traversent un orifice 66 appartenant au volet 62, qui est diamétral par rapport à l’axe R62 et qui se retrouve aligné avec l’orifice 55 lorsque le volet 62 est en position de libération. En position de masquage, l’orifice 66 est lui-même masqué à l’intérieur de la partie externe 51 du verrou 50. L’orifice 66 est mieux visible sur la , où le système de masquage est représenté seul.
Le doigt 64 est monté au sein du verrou 50, et est mobile de façon assujettie avec le volet 62. Lorsque le volet 62 est en position de libération, le doigt 64 est dans une position de verrouillage, où le doigt 64 fait saillie suivant la direction Y. Lorsque le volet 62 est en position de masquage, le doigt 64 est escamoté en sens opposé de la direction Y. Pour être ainsi déplacé par le volet 62, on prévoit par exemple que l’une des extrémités du doigt 64 est liée au volet 62 par une liaison pivot, autour d’un axe parallèle et non confondu avec l’axe R62, à la façon d’une manivelle, et que l’autre extrémité du doigt 64 est guidé en coulissement à son extrémité opposée par un guide formé à l’intérieur du verrou 50, parallèlement à l’axe Y1.
V p 1 représente la tension aux bornes dudit ensemble piézoélectrique 12 connecté à l’enroulement primaire 82 associé à la deuxième tension d’entrée V in_2 .
L’homme du métier comprendra alors que dans l’exemple de la , le principe de pilotage est le même que dans l’exemple de la , sauf qu’au lieu de piloter la deuxième sortie pour fournir une seconde tension de sortie V out_2 , le pilotage est modifié pour que le courant s’inverse et que la deuxième sortie devienne une entrée. Cette entrée est pilotée en relatif à la première entrée. C’est alors comme si la deuxième tension d’entrée V in_2 fournissait de la puissance à la première tension d’entrée V in_1 qui elle-même envoie de la puissance à la tension de sortie V out . Ceci permet alors un pilotage indépendant de la tension de sortie V out d’une part, et du courant tiré sur la deuxième tension d’entrée V in_2 d’autre part.
En variante de l’exemple de la , au lieu de connecter un ensemble piézoélectrique 12 à l’enroulement secondaire 84, un ensemble piézoélectrique 12 est connecté à l’enroulement primaire 82 associé à la première tension d’entrée V in_1 . Selon cette variante, les deux tensions d’entrée V in_1 , V in_2 sont alors pilotées vis-à-vis de la tension de sortie V out .
L’homme du métier comprendra qu’en pratique, sur un enroulement 82, 84 où il n’y a pas d’ensemble piézoélectrique 12 connecté, on ne peut pas faire de pilotage pour différencier un courant qui irait plutôt à une sortie qu’à une autre. C’est donc sur les enroulements 82, 84 auxquels un ensemble piézoélectrique 12 respectif est connecté qu’il est possible de maitriser le courant échangé ; et le ou chaque enroulement 82, 84 sans ensemble piézoélectrique 12 subit le pilotage, et compense le bilan total des puissances échangées, la somme des puissances de sortie étant égale à la somme des puissances d’entrée aux pertes près.
En outre, dans la présente description et comme représenté sur les figures 1 à 9, 13 et 15, la tension entre les premiers points milieux 38 est notée V pa , et est égale à la différence de potentiels (V pa1 – V pa2 ), où V pa1 est le potentiel de l’un des deux premiers points milieux 38, et V pa2 est le potentiel de l’autre premier point milieu 38. Par convention, lorsque le premier ensemble de commutation 30 comporte une seule première branche de commutation 32, le potentiel parmi V pa1 , V pa2 qui n’est pas associé au premier point milieu 38 de cette première branche de commutation 32 correspond alors au potentiel V inn , V inp de l’une des deux bornes d’application de tension d’entrée 34 ou bien à celui d’une extrémité 88 respective de l’enroulement primaire 82. Dans les exemples des figures 4 à 10, le potentiel V pa2 est égal au potentiel inférieur V inn de la tension d’entrée.
Lorsque le convertisseur d’énergie électrique 10 est configuré pour recevoir plusieurs tensions d’entrée distinctes V in_k , tel que dans l’exemple de la , la tension entre les premiers points milieux 38 est notée V pa_k pour chaque premier ensemble de commutation 30 associé à la tension d’entrée V in_k respective, et est égale à la différence de potentiels (V pa1,k – V pa2,k ), où V pa1 ,k est le potentiel de l’un des deux premiers points milieux 38, et V pa2 ,k est le potentiel de l’autre premier point milieu 38 dudit premier ensemble de commutation 30, avec la convention précitée restant applicable.
La tension entre les deuxièmes points milieux 48 est notée V pb , et est égale à la différence de potentiels (V pb2 – V pb1 ), où V pb1 est le potentiel de l’un des deux deuxièmes points milieux 48, et V pb2 est le potentiel de l’autre deuxième point milieu 48. Par convention également, lorsque le deuxième ensemble de commutation 40 comporte une seule deuxième branche de commutation 42, le potentiel parmi V pb1 , V pb2 qui n’est pas associé au deuxième point milieu 48 de cette deuxième branche de commutation 42 correspond alors au potentiel V outn , V outp de l’une des deux bornes de fourniture de tension de sortie 44 ou bien à celui d’une extrémité 88 respective de l’enroulement secondaire 84. Dans l’exemple de la , le potentiel V pb1 est égal au potentiel inférieur V outn de la tension de sortie ; et dans celui de la , le potentiel V pb2 est égal audit potentiel inférieur V outn de la tension de sortie. Dans l’exemple de la , chaque potentiel V pb1 , V pb2 est égal au potentiel d’une extrémité 88 respective de l’enroulement secondaire 84.
Lorsque le convertisseur d’énergie électrique 10 est configuré pour délivrer plusieurs tensions de sortie distinctes V out_j , tel que dans les exemples des figures 10 et 12, la tension entre les deuxièmes points milieux 48 est notée V pb_j pour chaque deuxième ensemble de commutation 40 associé à la tension de sortie V out_j respective, et est égale à la différence de potentiels (V pb2,j – V pb1,j ), où V pb1,j est le potentiel de l’un des deux deuxièmes points milieux 48, et V pb2,j est le potentiel de l’autre deuxième point milieu 48 dudit deuxième ensemble de commutation 40, avec la convention précitée restant applicable.
La fréquence de résonance est la fréquence à laquelle oscille l’élément piézoélectrique 15 et par conséquent son courant I L , représenté à la . Le cycle de conversion est synchronisé sur un mouvement mécanique de l’élément piézoélectrique 15, et la fréquence du pilotage est alors calée sur la fréquence d’oscillation mécanique. En pratique, cette fréquence d’oscillation dépend du point de fonctionnement du convertisseur 10 : valeurs des trois paliers de tension et du courant de sortie. En fonction du point de fonctionnement, cette fréquence d’oscillation évolue typiquement entre la fréquence de résonance dite série de l’élément piézoélectrique 15 (ω s =1/√(L r .C r ) où L r et C r correspondent aux inductance et capacité de la branche résonante 54) et la fréquence de résonance dite parallèle de l’élément piézoélectrique 15 (ω p =1/√(L r .C r .C 0 /(C r +C 0 ))), également respectivement appelés fréquence de résonance et fréquence d’antirésonance de l’élément piézoélectrique 15. La fréquence de fonctionnement du convertisseur 10 est alors comprise entre ces deux fréquences de résonance et d’antirésonance de l’élément piézoélectrique 15. Le point de fonctionnement varie lentement au regard de la fréquence d’oscillation de l’élément piézoélectrique 15. Le point de fonctionnement évolue typiquement à moins de 10kHz, alors que la fréquence d’oscillation de l’élément piézoélectrique 15 est typiquement supérieure ou égale à 100kHz. De ce fait, la fréquence de fonctionnement du convertisseur 10 évolue peu d’une période à la suivante.
En complément facultatif, lorsque le convertisseur 10 comprend plusieurs ensembles piézoélectriques 12 connectés à l’enroulement primaire 82, lesdits ensembles piézoélectriques 12 au primaire, et les éléments piézoélectriques 15 les constituant, sont de préférence sensiblement identiques entre eux.