INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
Dans ce qui suit, une « page mémoire » correspond à l’unité minimale de la mémoire pour l’effacement de données (c’est-à-dire qu’un effacement de données ne peut avoir lieu que pour une ou plusieurs pages complète(s), et non sur une partie de page seulement). L’écriture (ou « programmation ») peut quant à elle être effectuée sur seulement une partie de page. Il est noté que le vocabulaire employé pour désigner ces éléments peut varier d’un type de mémoire à l’autre ou selon le fabricant de la carte mémoire. Par exemple, le terme « secteur » est parfois utilisé pour désigner l’unité minimale de la mémoire pour l’effacement de données. La personne du métier n’aura bien entendu aucune difficulté à appliquer les enseignements suivants à des éléments sécurisés fournis par des fabricants utilisant une autre terminologie que celle employée ici.
Toute page d’une mémoire non volatile réinscriptible a une certaine capacité d’endurance (ou simplement « endurance »), qui correspond au nombre maximal de fois que l’on peut effacer et (ré)écrire la page mémoire. Une fois que ce nombre maximal est atteint, la page mémoire est « usée » et peut ne plus être apte à restituer, en lecture, les données qui y ont été préalablement écrites et/ou à permettre une (ré)écriture de données et/ou à permettre un (ré)effacement de données. La capacité d’endurance peut varier d’une page à l’autre. Lorsque toutes les pages mémoire sont usées, le fonctionnement correct de la mémoire n’est plus assuré. La capacité d’endurance « globale » (i.e. en tenant compte de l’ensemble des pages mémoire) est très variable selon le type de mémoire non volatile réinscriptible (flash, EEPROM - de l'anglais « Electrically Erasable Programmable Read Only Memory », etc.). Elle peut aller de quelques milliers de cycles d’écritures et d’effacements pour certaines mémoires non volatiles réinscriptibles à plusieurs centaines de milliers de cycles pour d’autres.
Certaines opérations nécessitent plus d’effacements et d’écritures que d’autres, et « usent » davantage la mémoire. Par exemple, le téléchargement d’un nouveau profil d’abonné requiert généralement plus d’effacements et d’écritures que l’utilisation ou la mise à jour d’une application déjà installée sur un profil d’abonné existant. Si de telles opérations sont effectuées alors que la mémoire a atteint un état d’usure trop avancé, il est possible que tout ou partie des effacements / écritures ne puissent être effectués sur la mémoire. Cela peut engendrer des défaillances au niveau de l’utilisation de l’élément sécurisé, voire une interruption totale du fonctionnement de celui-ci.
La brevet FR 2 977 047 B1 propose un procédé pour gérer de manière efficace l’écriture et l’effacement de données dans une mémoire non volatile, en fonction de son état d’usure. Il permet notamment de substituer un secteur mémoire de travail usé par un secteur mémoire de remplacement, disponible dans une réserve de secteurs mémoire.
Cela permet a priori d’épuiser au maximum l’ensemble de la zone mémoire dédiée au stockage des données. Néanmoins, ces solutions ne sont pas optimales lorsque l’on souhaite étendre au maximum la durée de vie de la mémoire d’un élément sécurisé. La présente invention vient améliorer la situation.
L’inventeur a en effet constaté que les techniques connues faisaient fi de la zone mémoire dédiée à l’OS, laquelle, en raison de la nature peu, voire, non évolutive du système d’exploitation se trouvait très peu usée à la fin de vie de l’élément sécurisé. Aussi, l’invention propose d’exploiter cette réserve indirecte de pages mémoire saines, comme nouvelles pages mémoire de stockage de données précédemment stockées sur une page mémoire usée, par exemple par une simple interversion des contenus des pages mémoire.
L’OS se retrouve alors transféré, en tout ou partie, sur des pages mémoire usées, ce qui ne lui est pas préjudiciable, en raison de la nature peu évolutive, voire non évolutive, du système d’exploitation (donc peu de nouveaux cycles d’écriture auront lieu). En revanche, les données déplacées peuvent à nouveau être l’objet de nombreux cycles de réécritures.
Un réseau de capacités ajustables intégrées aux deux antennes dites ID1 et concentrateur permet de faire résonner l’ensemble du système d’antennes à une fréquence de fonctionnement déterminée. On entend donc par système d’antennes, l’antenne ID1, l’antenne concentrateur, et les capacités ajustables permettant d’ajuster la fréquence de résonnance de l’insert d’antenne.
Le système d’antennes précité est couplé électro magnétiquement à un module électronique disposant lui aussi d’une antenne, disposée à la périphérie du module électronique et appelée antenne du module, qu’il s’agisse par exemple du module électronique d’une carte à puce sans contact, ou de celui d’un passeport électronique. L’antenne du module est limitée en termes de nombre de tours par la taille réduite du module électronique, celui-ci devant en outre recevoir une puce microélectronique et éventuellement des contacts galvaniques normalisés de type ISO 7816-2, par exemple pour les cartes dites duales, qui sont à fonctionnement mixte à contact et sans contact.
Dans les réalisations connues d’inserts d’antenne, l’antenne ID1 et le concentrateur sont réalisés notamment par des pistes gravées en aluminium de très faible largeur disposées sur un substrat en PET, et les capacités d'ajustement sont réalisées par des placards métalliques situés de part et d'autre du substrat de l'antenne booster. Les spires des antennes ID1 et concentrateur peuvent être réalisées sur une seule face de l’insert, ou sur ses deux faces. Pour fermer le circuit électrique, on a l'habitude d'utiliser un "crimp" en terminologie anglo-saxonne, à savoir une connexion électrique réalisée par sertissage ou estampage pour relier des plages métalliques situées de part et d'autre du substrat de l’insert d'antenne. Dans ce mode de réalisation connu, les pistes métalliques des antennes ont typiquement une épaisseur de l'ordre de 10 à 30 micromètres, et l’épaisseur du substrat diélectrique est de l'ordre de 25 à 38 micromètres, ce qui permet d'obtenir des performances de fonctionnement radiofréquence conformes aux normes en vigueur (ISO 14443 et 10373-6).
On décrira l’invention en référence à la terminologie habituelle des composants d’une carte à puce sans contact ou d’une carte à puce duale, étant entendu qu’elle est transposable sans limitation à d’autres produits de format différent, comme les passeports électroniques.
Le module électronique de la carte à puce est inséré, de façon connue, dans une cavité aménagée dans le corps de carte, en particulier par usinage à l’aide d’une fraise. Cette cavité comporte deux zones de profondeurs différentes, à savoir une zone dite P2, qui correspond à l’usinage le plus profond et dans laquelle vient se loger la goutte d’encapsulation qui protège la puce microélectronique du module, et une zone dite P1, qui correspond à un usinage moins profond et qui délimite une zone sur laquelle vient s’appuyer l’antenne périphérique du module électronique.
La cavité du module est usinée lorsque toutes les couches de la carte à puce ont été assemblées, et que l’insert d’antenne se trouve pris entre les couches externes du corps de carte. Pour un module d’épaisseur standard, à savoir un module ayant une épaisseur de l’ordre de 500 micromètres, l’usinage de la zone P2 traverse alors généralement l’insert d’antenne, qui est situé à une profondeur d’environ 400 micromètres, alors que l’usinage moins profond de la zone P1 n’atteint pas la profondeur de l’insert d’antenne.
Afin de ne pas endommager les spires des antennes ID1 et concentrateur de l’insert, il est donc nécessaire qu’aucune piste ne soit située dans la zone P2 qui sera usinée. Mais afin d’assurer un bon couplage électromagnétique entre l’antenne concentrateur de l’insert et l’antenne du module électronique, il est également nécessaire que les spires du concentrateur soient aussi proches que possible des spires de l’antenne du module électronique.
Le couplage est défini par la similitude géométrique entre deux antennes ainsi que par leur distance respective. Ainsi pour définir l’interaction entre l’antenne concentrateur et l’antenne du module, plus la distance séparant l’un de l’autre est grande, moins bon sera le couplage ce qui engendrera des performances dégradées. Les premiers tours intérieurs du concentrateur sont donc les plus importants et doivent se trouver au plus proche des tours de pistes de l’antenne du module pour maximiser ces performances, et avoir le plus de spires possibles dans un minimum d’encombrement.
Ces deux conditions simultanées sont déjà difficiles à réaliser pour un module d’épaisseur standard, compte tenu des tolérances de positionnement de l’insert d’antenne pendant l’assemblage des couches de la carte à puce, qui sont de l’ordre de 1 à 2 mm. Elles deviennent encore plus difficiles à réaliser lorsque le module utilisé est un module dit « épais », à savoir un module qui nécessite une cavité dont les deux zones P1 et P2 sont profondes, et nécessitent toutes deux un usinage qui traverse les couches de l’insert d’antenne. Cela est typiquement le cas pour des modules de type dit « dCVV » (acronyme pour « Dynamic Card Verification Value » en terminologie anglo-saxonne), pour lesquels les deux profondeurs des zones P1 et P2 sont situées au-delà de 500 micromètres. Dans ce cas de figure, les spires de l’antenne concentrateur ne peuvent pas être situées suffisamment proches des spires du module électronique, ce qui entraine de mauvaises performances de communication radiofréquence des cartes à puce connues pourvues de tels modules.
Buts de l’invention Un but général de l’invention est par conséquent de proposer une structure améliorée d’insert d’antenne, notamment pour le corps d’une carte à puce sans contact ou pour un passeport électronique, et qui soit dépourvue des inconvénients précités.
Un autre but plus spécifique de l’invention est de proposer une structure d’insert d'antenne pour carte à puce sans contact ou équivalent, assurant un couplage optimisé avec l’antenne d’un module électronique destiné à être intégré au corps de carte, indépendamment de l’épaisseur du module, c’est-à-dire en particulier qu’il s’agisse d’un module standard, ou d’un module dit « épais », notamment de type dCVV ayant une épaisseur de plus de 500 micromètres.
Un autre but de l’invention est de proposer un procédé de fabrication d’une carte à puce utilisant l’insert d’antenne optimisé selon l’invention.
Selon le principe de l’invention, la solution au problème précité consiste à créer sur l’insert d’antenne une spire interne de concentrateur qui débouche directement dans la cavité, sur les parois latérales de celle-ci, et qui soit plus large que les autres, en tout cas suffisamment large pour compenser la tolérance de positionnement de l’insert d’antenne entre les autres couches du corps de carte, lors de l’assemblage de l’insert d’antenne avec les autres couches de la carte à puce.
Pour réaliser cette spire interne plus large, on réalise une ébauche de concentrateur pourvue d’une zone centrale métallique sensiblement pleine, puis on place l’insert pourvu de cette ébauche entre les autres couches du corps de carte, et enfin on usine la cavité du corps de carte ainsi que la zone centrale métallique sensiblement pleine de l’insert d’antenne, de façon qu’après usinage, il subsiste sur l’insert d’antenne une spire interne de concentrateur qui débouche directement dans la cavité et qui affleure sur les parois latérales de celle-ci. Ainsi, la spire interne élargie qui subsiste après l’usinage de la cavité du module permet à la fois d’absorber les tolérances de positionnement de l’insert d’antenne dans le corps de carte, et de rapprocher au maximum cette spire interne du concentrateur des spires de l’antenne du module électronique, comme cela sera visible sur les figures.
Ce procédé et cette configuration d’antenne concentrateur peuvent être avantageusement utilisés quelle que soit la zone P1 ou P2 du module qui traverse l’insert d’antenne, c’est-à-dire qu’il s’agisse d’un module standard ou d’un module épais.
L'invention a donc pour objet un insert d’antenne pour carte à puce à fonctionnement sans contact ou à fonctionnement mixte à contact et sans contact, destiné à être interposé entre des couches externes d’un corps de carte à puce, ledit insert d’antenne comportant un substrat et sur au moins une face dudit substrat, des spires d’un concentrateur destinées à être couplées électromagnétiquement avec les spires d’une antenne d’un module électronique disposé dans une cavité du corps de carte, caractérisé en ce que ledit concentrateur comporte au moins une spire interne qui débouche dans la cavité et qui affleure sur les parois latérales internes de ladite cavité du corps de carte à puce.
La illustre un organigramme des différentes étapes d’un procédé de contrôle d’un véhicule, par exemple du premier véhicule 10, selon un exemple de réalisation particulier et non limitatif de la présente invention. Le procédé est par exemple mis en œuvre par un dispositif embarqué dans le véhicule, par exemple par le dispositif 4 de la , ou par un système comprenant le dispositif embarqué relié en communication sans fil à un dispositif distant de type serveur ou ordinateur.
Dans une première étape 51, des premières données représentatives d’un comportement dynamique du véhicule depuis un ensemble de capteurs embarqués dans le véhicule sont reçues, l’ensemble de capteurs comprenant au moins un capteur.
Dans une troisième étape 53, des troisièmes données représentatives d’un changement d’un ensemble de plaquettes de frein du véhicule sont reçues.
Dans une quatrième étape 54, des quatrièmes données représentatives d’un niveau d’usure de l’ensemble de plaquettes de frein du véhicule sont déterminées en fonction des premières et deuxièmes données et des cinquièmes données représentatives d’un mode de conduite du véhicule sont déterminées en fonction des premières données.
Dans une cinquième étape 55, des informations représentatives d’une catégorie d’usure de l’ensemble de plaquettes de frein sont déterminées par classification d’un ensemble de données comprenant les troisièmes données, les quatrièmes données et les cinquièmes données à partir d’un modèle de classification appris dans une phase dite d’apprentissage, la catégorie d’usure étant associée à une classe d’un ensemble de classes en sortie du modèle de classification.
Dans un mode de réalisation spécifique, le déplacement comprend les étapes suivantes : sélectionner un bloc de pages mémoire de données, incluant la première page mémoire de données usée, de taille équivalente au bloc ou blocs de pages mémoire OS stockant la ou les sections de l’OS sélectionnées, et intervertir le contenu du bloc sélectionné de pages mémoire de données avec celui du bloc ou des blocs de pages mémoire OS stockant la ou les sections de l’OS sélectionnées. On évite ainsi une inutilisation de certaines pages mémoire OS « saines ». De préférence les blocs sont construits de tailles équivalentes ou égales.
Dans un mode de réalisation spécifique, le bloc sélectionné de pages mémoire de données est formé d’une pluralité de pages mémoire contigües. Cela permet un déplacement de contenu plus aisé.
Dans un autre mode de réalisation spécifique, sélectionner le bloc de pages mémoire de données comprend les étapes suivantes : obtenir un ensemble de pages mémoire de données contigües, incluant la première page mémoire de données usée, en fonction d’un critère d’usure globale desdites pages mémoire de l’ensemble. Un tel ensemble va donc préférentiellement englober (de façon optimisée) un nombre élevé de pages usées. Le taux d’usure globale peut être fixé comme décrit ci-dessus (en fonction par exemple d’un marquage des pages successivement identifiées comme usées), et mettre à jour l’ensemble de pages mémoire de données (par exemple par extension aux pages voisines) en fonction de la ou les sections de l’OS sélectionnées, pour obtenir ledit bloc de pages mémoire de données. Cela permet de faire correspondre en taille l’ensemble de pages mémoire de données avec la taille du bloc ou des blocs stockant lesdites sections.
Selon une caractéristique particulière, sélectionner une ou plusieurs des sections de l’OS comprend sélectionner le plus petit ensemble d’une ou plusieurs sections contiguës de l’OS ayant une taille supérieure à l’ensemble obtenu de pages mémoire de données.
Ces dispositions permettent d’optimiser le dimensionnement des blocs à intervertir, afin de minimiser le nombre de pages mémoire OS non utilisées après déplacement du contenu.
Selon une autre caractéristique particulière, le déplacement est déclenché par l’identification d’un ensemble de pages mémoire de données contigües, incluant la première page mémoire de données usée, présentant un taux d’usure globale supérieur à un seuil d’usure globale. En variante, l’atteinte d’un taux d’usure particulier de la première page mémoire de données usée au-delà d’un seuil critique (une page mémoire peut être considérée comme usée à partir d’un seuil d’usure plus faible que le seuil critique) peut déclencher la procédure de déplacement (obtention d’un bloc de pages incluant notamment cette page mémoire à l’usure critique).
Cela rend plus efficace le déplacement du contenu de pages mémoire par bloc.
Dans un mode de réalisation, le procédé comprend en outre une étape consistant à déterminer si le contenu de la première page mémoire de données usée doit être déplacé. Des critères déjà évoqués ci-dessus incluent notamment la détection d’un taux d’usure globale (de la zone 1 ou d’un ensemble de pages). En évitant le systématisme d’un déplacement, la gestion de la mémoire est allégée.
Dans un mode de réalisation particulier, la détermination de si le contenu de la première page mémoire de données usée doit être déplacé est basée sur un type de page mémoire de données associé à la première page mémoire de données usée. Cela permet par exemple de définir un premier type de page indéplaçable, par exemple en raison de la nature des données qu’elles comportent (clés cryptographiques, zone système, adresses mémoire de base, etc.) et un deuxième type de page dont le contenu peut être déplacé.
Dans un mode de réalisation particulier, dans l’affirmative d’une détermination que le contenu de la première page mémoire de données usée doit être déplacé, la première page mémoire de données usée est marquée comme étant à déplacer (par exemple via un drapeau), et le procédé comprend en outre, lors d’un redémarrage de l’élément sécurisé, une étape de vérification de si une page mémoire de données usée est marquée comme étant à déplacer, et dans l’affirmative une étape de déclenchement du déplacement du contenu de ladite page mémoire de données marquée comme étant à déplacer, vers la page mémoire OS.
Ainsi le déplacement de contenu selon l’invention est réalisé hors utilisation de l’élément sécurisé, réduisant les risques de corruption des données (déplacées ou manipulées lors d’une opération de l’élément sécurisé) ou de dysfonctionnement de l’OS compte tenu des déplacements réalisés.
Cette configuration est utile lorsque l’OS n’est pas entièrement chargé en mémoire RAM lors de l’utilisation de l’élément sécurisé, afin d’éviter un dysfonctionnement de l’OS lors du déplacement des parties non en RAM si elles doivent être appelées au même moment.
Selon une caractéristique particulière, le procédé comprend, en outre, le déclenchement d’un redémarrage de l’élément sécurisé en réponse au marquage de la première page mémoire de données usée comme étant à déplacer. Cela garantit la prise en compte de déplacement le plus tôt possible, dès lors que le déplacement requiert un redémarrage.
En variante, le déplacement est réalisé immédiatement à la détermination de l’état usé de la page mémoire. Cette variante s’apparente à un déplacement à la volée des contenus.
Dans un mode de réalisation, le procédé comprend, en outre, une mise à jour d’un registre d’indirection pour stocker une information représentative d’une nouvelle adresse mémoire des contenus déplacés (donc portion d’OS déplacée et données déplacées). Ce registre peut être une table de translation d’adresses, entre les adresses initiales et les nouvelles adresses mémoire. Selon les réalisations, l’information peut être une valeur relative (par exemple le déplacement ou offset d’adresse mémoire) ou une valeur absolue d’adresse mémoire.
Dans un mode de réalisation, le déplacement est conditionné au fait que la deuxième zone ne comporte plus de page mémoire de données non usée qui soit libre. Des mécanismes classiques prolongeant la vie de cette zone mémoire « données » peuvent ainsi être mis en œuvre de façon préalable à l’invention. Dans ce sens, des déplacements de données sont d’abord effectués à l’intérieur de la zone mémoire « données » lorsqu’une page est usée, et ce n’est qu’après épuisement de toutes les pages « saines » que les pages mémoire OS sont utilisées pour prolonger encore plus la durée de vie de la mémoire.
Pour valider la fonctionnalité du modèle de surveillance, on propose, par exemple, d’exécuter un autodiagnostic BIST.
Il est prévu que le procédé consiste à :
- déterminer une sortie de référence fondée sur une entrée de référence avec le modèle fonctionnel et de vérifier la sortie de référence, notamment comparer la sortie de référence à des données de vérité de terrain avec le modèle de surveillance. Une entrée de référence est, par exemple, enregistrée dans une mémoire appropriée pour être ainsi fournie au modèle fonctionnel.
La dénomination donnée de « vérité de terrain » signifie que toute donnée représente une référence qui décrit de manière suffisamment précise la réalité des données de référence pour l’objectif respectif. En d’autres termes, les données de vérité de terrain sont des données observées ou mesurées qui ont été analysées de manière objective.
La vérification de la sortie de référence par le modèle de surveillance permet de vérifier, à l’aide des données de référence connues, si le modèle fonctionnel est apte à fonctionner. Au cas où le modèle fonctionnel comprend un algorithme de classification, il est avantageux que les entrées de référence couvrent différentes classes, notamment toutes les classes.
Il peut être prévu de déterminer une sortie de référence en se fondant sur une entrée de référence avec le modèle fonctionnel et de comparer la sortie de référence avec les données de vérité de terrain, périodiquement avec le modèle de surveillance. Cette exécution peut être, par exemple, déclenchée par la mise à disposition d’au moins une entrée de référence.
On peut également prévoir de déterminer la sortie de référence en se fondant sur l’entrée de référence avec le modèle fonctionnel pendant le fonctionnement normal, c’est-à-dire un fonctionnement approprié du modèle fonctionnel. Mais, il peut également arriver que le modèle fonctionnel commute sur le mode de diagnostic. Cela est, par exemple, avantageux si le modèle fonctionnel comprend un algorithme dont le fonctionnement aurait été influencé pendant un mode de fonctionnement normal par l’utilisation de données de référence. A titre d’exemple, il peut s’agir de réseaux de neurones récurrents RNN mais qui implémentent un état interne. Une entrée de référence pourrait influencer l’état interne et ainsi influencer également les prévisions qui en résultent.
En complément ou en variante, on peut prévoir d’autres étapes pour valider la fonctionnalité du modèle fonctionnel. Le procédé comprend, par exemple, les étapes suivantes : fournir une valeur de hachage avec le modèle de surveillance, signer la valeur de hachage avec le modèle fonctionnel, fournir la valeur de hachage signée au modèle de surveillance et vérifier la valeur de hachage signée, notamment comparer la valeur de hachage à la valeur de hachage signée en utilisant le modèle de surveillance.
Le modèle de surveillance génère, par exemple, un nombre aléatoire et aussi une valeur de hachage. La valeur de hachage est ensuite fournie au modèle fonctionnel. La valeur de hachage est une fonction mathématiquement non réversible pour garantir que le modèle fonctionnel ne rétablit pas de lui-même la valeur d’origine.