La présente invention se rapporte au domaine de la sécurité des véhicules automobiles et concerne plus précisément un procédé et un dispositif d'accès mains libres sécurisé à un véhicule automobile. L'invention vise notamment à permettre le déverrouillage et le verrouillage du véhicule de manière à prévenir les attaques de type relais.

De nos jours, de nombreux véhicules automobiles sont équipés d'un système d'accès et de démarrage mains libres. Un tel système comporte un dispositif d'accès, par exemple de type clé, badge ou téléphone mobile, porté par l'utilisateur du véhicule, et un module de contrôle d'accès et de démarrage embarqué dans le véhicule et qui est configuré pour communiquer sur un lien de communication sans fil avec ledit dispositif d'accès afin de l'authentifier et d'autoriser le déverrouillage et le verrouillage des ouvrants du véhicule ainsi que le démarrage du moteur.

De manière connue, le module de contrôle émet de manière périodique, via une antenne, un signal de diffusion. Lorsque l'utilisateur porteur du dispositif d'accès s'approche du véhicule pour le déverrouiller, le signal de diffusion est capté via son antenne par le dispositif d'accès qui répond au module de contrôle en lui envoyant un message d'authentification comprenant son identifiant. Lorsque l'identifiant est valide et que l'utilisateur porteur du dispositif d'accès entre en contact avec une zone prédéterminée du véhicule, par exemple lorsqu'il place sa main sur la poignée de la portière du conducteur, qui est équipée d'un capteur de détection d'approche, le module de contrôle déverrouille les ouvrants du véhicule et autorise le démarrage du moteur.

Un tel système de communication sans fil peut être sujet à des attaques permettant à une personne non autorisée de pénétrer dans l'habitacle voire de démarrer le moteur du véhicule. Un type d'attaque connue, appelée attaque relais, permet à un voleur de déverrouiller les ouvrants du véhicule tout en se tenant éloigné, par exemple de plus de 10 mètres. Plus précisément, le voleur déclenche l'envoi par le dispositif d'accès d'un message d'authentification qu'il relaye jusqu'au module de contrôle pour déverrouiller le véhicule et démarrer ensuite le moteur. Ce relais peut être réalisé sur un lien de communication UHF (Ultra Haute Fréquence), par exemple fonctionnel jusqu'à 100 mètres.

Un premier type d'attaque relais peut être réalisé à l'aide d'un dispositif d'attaque comprenant deux antennes radio connectées entre elles via un câble coaxial. Quand l'une des antennes est présentée près de la porte du véhicule, elle capture le signal de diffusion émis par l'antenne du module de contrôle. Ce champ magnétique excite la première antenne du dispositif d'attaque qui crée, par induction, un signal électrique qui se propage dans le câble coaxial. Lorsque ce signal est reçu par la seconde antenne du dispositif d'attaque, celle-ci génère un champ magnétique omnidirectionnel. Ce champ radio excite alors l'antenne du dispositif d'accès qui démodule le signal et envoie au véhicule un message d'authentification permettant l'ouverture des ouvrants et le démarrage du moteur.

Un deuxième type d'attaque relais peut être réalisé avec un dispositif d'attaque sans câble comprenant deux antennes radio, un émetteur et un récepteur. L'émetteur capture le signal de diffusion émis par l'antenne du module de contrôle pour le convertir en ondes radiofréquences, par exemple à 2,5 GHz, puis l'amplifie pour l'émettre à destination du récepteur. Le récepteur reçoit ce signal, le convertit et l'envoie à l'antenne du dispositif d'accès. Le dispositif d'accès répond à ce signal par un message d'authentification que le dispositif d'attaque transmet au module de contrôle qui déverrouille alors les ouvrants et autorise le démarrage du moteur.

Une solution connue pour lutter contre de telles attaques relais consiste à équiper le dispositif d'accès d'un capteur de mouvement permettant, en l'absence prolongée de mouvement, par exemple après quelques minutes, de désactiver ledit dispositif d'accès, ce dernier n'étant pas a priori sur le point d'être utilisé. Ainsi, lorsqu'il est désactivé, le dispositif d'accès ne peut pas répondre à une attaque relais. Le dispositif d'accès se réactive ensuite lorsqu'un mouvement est détecté, par exemple lorsqu'un utilisateur s'en saisit.

Le dispositif d'accès peut cependant se retrouver immobile alors qu'il est nécessaire de pouvoir démarrer le moteur. Ceci peut par exemple être le cas lorsqu'un utilisateur dépose le dispositif d'accès dans le véhicule et ne démarre pas le moteur avant plusieurs minutes, par exemple lorsqu'il est téléphone. Dans ce cas, le dispositif d'accès se désactive en l'absence de mouvement, empêchant alors l'utilisateur de démarrer le moteur, à moins de déplacer de nouveau le dispositif d'accès, ce qui présente un inconvénient important.

La présente invention a pour but de remédier à ces inconvénients en proposant une solution simple et efficace permettant à un utilisateur autorisé d'utiliser le dispositif d'accès du véhicule pour le déverrouiller et démarrer le moteur ultérieurement sans avoir besoin de manipuler de nouveau le dispositif d'accès tout en empêchant les attaques relais aux abords du véhicule.

A cette fin, l'invention a tout d'abord pour objet un procédé d'accès sécurisé à un véhicule automobile dont le verrouillage et le déverrouillage des ouvrants sont réalisés par communication sans fil entre un dispositif d'accès portable et un module de contrôle d'accès embarqué dans ledit véhicule, ledit dispositif comprenant un capteur de mouvement. Le procédé est remarquable en ce qu'il comprend les étapes d'authentification du dispositif auprès du module de contrôle d'accès, de déverrouillage du véhicule lorsque le dispositif a été authentifié, d'émission périodique, par le module de contrôle d'accès, d'un signal d'interrogation dans au moins une partie de l'habitacle du véhicule à destination du dispositif suite au déverrouillage du véhicule, à chaque réception par le dispositif dudit signal d'interrogation, de déclenchement d'une première temporisation dont la durée est supérieure à la période d'émission du signal d'interrogation, et de désactivation du dispositif lorsque la première temporisation a expiré et que l'état immobile dudit dispositif est détecté par le capteur de mouvement.

Par les termes « déverrouillage du véhicule », on entend le déverrouillage d'au moins un ouvrant du véhicule, par exemple d'au moins une portière, de l'habitacle, du coffre, etc. Par les termes « désactivation du dispositif », on entend que le dispositif est inapte à déverrouiller le véhicule (voire à en démarrer le moteur).

L'invention permet d'éviter que le dispositif d'accès ne se désactive au moment où il est susceptible d'être utilisé dans le véhicule. Plus précisément, l'invention permet d'empêcher la désactivation du dispositif d'accès dès lors que le véhicule a été déverrouillé, même si le dispositif reste immobile pour une durée supérieure à la durée nécessaire pour le désactiver lorsqu'il est éloigné du véhicule, par exemple au domicile de l'utilisateur. En effet, le déverrouillage du véhicule par le dispositif étant synonyme d'utilisation dudit dispositif et donc du véhicule, le procédé selon l'invention permet de garder le dispositif actif dans le véhicule et de le rendre inactif dès que l'utilisateur portant le dispositif s'éloigne du véhicule et dépose le dispositif.

Selon un aspect de l'invention, l'étape d'authentification du dispositif auprès du module de contrôle d'accès comprend, le dispositif étant associé à un identifiant, une sous-étape de réception d'un signal de diffusion émis par le module de contrôle d'accès, une sous-étape d'envoi, par le dispositif, d'une requête de déverrouillage au module de contrôle d'accès, ladite requête comprenant l'identifiant du dispositif, l'authentification du dispositif étant alors réalisée par le module de contrôle d'accès à partir de l'identifiant inclus dans la requête de déverrouillage reçue.

Dans ce cas, la désactivation du dispositif peut être réalisée par le dispositif en empêchant l'envoi d'une requête de déverrouillage, par exemple en coupant l'alimentation électrique de son antenne ou en envoyant, en réponse à la réception d'un signal de diffusion et à la place d'une requête de déverrouillage, un message dans lequel il indique que son état est désactivé.

Selon un aspect avantageux de l'invention, la durée de la première temporisation est supérieure ou égale au triple de la période du signal d'interrogation. De manière avantageuse, la durée de la période du signal d'interrogation est comprise entre 1 et 5 minutes.

Avantageusement encore, la durée de la première temporisation est comprise entre 3 et 15 minutes. Une marge, par exemple de 5 %, peut être prévue afin de compenser l'imprécision des horloges des composants électroniques utilisées dans le dispositif le cas échéant.

De préférence, l'état immobile du dispositif est détecté lorsque le capteur de mouvement ne détecte aucun mouvement pendant la durée d'une deuxième temporisation.

Dans un premier mode de réalisation, la deuxième temporisation est déclenchée à chaque mouvement du dispositif détecté par le capteur de mouvement, la durée de la deuxième temporisation étant alors supérieure à la durée de la première temporisation.

Dans un deuxième mode de réalisation, la deuxième temporisation est déclenchée uniquement lorsque la première temporisation a expiré.

De préférence, la durée de la deuxième temporisation est supérieure à la durée de la première temporisation. La durée de la deuxième temporisation peut par exemple être comprise entre 3 et 20 minutes.

Dans un mode de réalisation, le procédé comprend une étape de verrouillage du véhicule par le dispositif et une étape d'arrêt de l'émission périodique, par le module de contrôle d'accès, du signal d'interrogation suite audit verrouillage du véhicule de manière à permettre l'expiration de la première temporisation.

L'invention concerne également un dispositif portable d'accès à un véhicule automobile dont le verrouillage et le déverrouillage des ouvrants sont réalisés par communication sans fil entre ledit dispositif et un module de contrôle d'accès embarqué dans ledit véhicule, ledit dispositif comprenant un capteur de mouvement et étant apte à s'authentifier auprès du module de contrôle d'accès.

Le dispositif est remarquable en ce qu'il est configuré pour recevoir un signal d'interrogation émis périodiquement par le module de contrôle d'accès dans au moins une partie de l'habitacle du véhicule à destination du dispositif suite au déverrouillage du véhicule, pour, à chaque réception par le dispositif dudit signal d'interrogation, déclencher une première temporisation dont la durée est supérieure à la période d'émission du signal d'interrogation, pour désactiver le dispositif lorsque la première temporisation a expiré et que l'état immobile dudit dispositif est détecté à partir du capteur de mouvement.

Selon un aspect avantageux de l'invention, la durée de la première temporisation est supérieure ou égale au triple de la période du signal d'interrogation. De manière avantageuse, la durée de la période du signal d'interrogation est comprise entre 1 et 5 minutes.

Avantageusement encore, la durée de la première temporisation est comprise entre 3 et 15 minutes. Une marge, par exemple de 5 %, peut être prévue afin de compenser l'imprécision des horloges des composants électroniques utilisées dans le dispositif le cas échéant.

De préférence, le dispositif est configuré pour détecter un état immobile lorsque le capteur de mouvement ne détecte aucun mouvement pendant la durée d'une deuxième temporisation.

Dans une première forme de réalisation, la deuxième temporisation est déclenchée à chaque mouvement du dispositif détecté par le capteur de mouvement, la durée de la deuxième temporisation étant alors supérieure à la durée de la première temporisation.

Dans une deuxième forme de réalisation, la deuxième temporisation est déclenchée uniquement lorsque la première temporisation a expiré.

De préférence, la durée de la deuxième temporisation est supérieure à la durée de la première temporisation. La durée de la deuxième temporisation peut par exemple être comprise entre 3 et 20 minutes.

L'invention concerne également un véhicule automobile dont les ouvrants sont apte à être verrouillés et déverrouillés par communication sans fil entre un dispositif et un module de contrôle d'accès embarqué dans ledit véhicule, ledit module de contrôle d'accès étant configuré pour authentifier ledit dispositif, pour déverrouiller le véhicule lorsque le dispositif a été authentifié, et pour émettre périodiquement un signal d'interrogation dans au moins une partie de l'habitacle du véhicule à destination du dispositif suite au déverrouillage du véhicule.

L'invention concerne enfin un système de déverrouillage et de verrouillage sécurisé d'un véhicule automobile, ledit système comprenant au moins un dispositif et un véhicule tels que présentés précédemment.

D'autres caractéristiques et avantages de l'invention apparaîtront lors de la description qui suit faite en regard des figures annexées données à titre d'exemples non limitatifs et dans lesquelles des références identiques sont données à des objets semblables.

- La figure 1 illustre schématiquement une forme de réalisation du système selon l'invention.

- La figure 2 illustre schématiquement une forme de réalisation du dispositif selon l'invention. - La figure 3 illustre schématiquement un mode de réalisation du procédé selon l'invention.

Le système selon l'invention permet de sécuriser l'accès à un véhicule automobile, notamment dans le but de réduire, voire supprimer, le risque d'attaque relais.

Dans l'exemple illustré à la figure 1 , le système 1 selon l'invention comprend un véhicule 10 automobile et un dispositif 20 d'accès permettant le verrouillage et le déverrouillage dudit véhicule 10 ainsi, de préférence, que le démarrage du moteur (non représenté) du véhicule 10. Par les termes « verrouillage / déverrouillage du véhicule », on entend le verrouillage / déverrouillage d'au moins un ouvrant du véhicule, par exemple une portière, du coffre, etc. On notera que le système pourrait comprendre plus d'un dispositif sans que cela ne limite la portée de la présente invention.

Le véhicule 10 comprend un module de contrôle d'accès 100, pouvant se présenter par exemple sous la forme d'un calculateur connu sous le nom d'ECU (Electronic Control Unit), connecté à une antenne 100A (ou plusieurs antennes) par exemple montée dans une poignée de porte du véhicule afin de communiquer avec le dispositif 20.

Ce module de contrôle d'accès 100 est configuré pour émettre périodiquement un signal de diffusion dans une zone de couverture (non représentée) autour du véhicule 10 et pour recevoir une requête de déverrouillage comprenant un identifiant du dispositif 20 afin de l'authentifier et d'autoriser alors le déverrouillage du véhicule 10 comme cela sera décrit ci-après.

Le module de contrôle d'accès 100 est configuré pour communiquer avec le dispositif 20 sur un lien de communication L1 sans fil, notamment pour déverrouiller le véhicule 10. Un tel lien de communication L1 peut être un lien de communication LF (Low Frequency) par exemple dans la bande de fréquences allant de quelques dizaines à quelques centaines de kHZ ou bien UHF (Ultra Hautes Fréquences) dans la bande 30 MHz - 3 GHz, par exemple encore dans la bande de fréquences 2 -2,4 GHz (Bluetooth®).

Le module de contrôle d'accès 100 est également configuré pour, une fois le véhicule 10 déverrouillé et jusqu'à ce qu'il soit de nouveau verrouillé, émettre périodiquement un signal d'interrogation à destination du dispositif 20. De préférence, ce signal d'interrogation est émis sur le lien de communication L1 existant entre le dispositif 20 et le module de contrôle d'accès 100 mais on notera qu'il pourrait être émis sur tout autre lien de communication adapté. Le signal d'interrogation peut être émis dans tout ou partie de l'habitacle voire également à la fois dans et hors de l'habitacle du véhicule 10. De préférence, la durée de la période du signal d'interrogation est comprise entre 1 et 5 minutes. Le dispositif 20 est destiné à équiper un utilisateur afin de lui permettre de commander le verrouillage et le déverrouillage du véhicule 10. En référence à la figure 2, le dispositif 20 comprend un module de gestion 200 et un capteur de mouvement 210.

Le capteur de mouvement 210 est apte à détecter un mouvement du dispositif 20 et à émettre un signal de détection lorsqu'un mouvement du dispositif a été détecté.

Le module de gestion 200 est configuré pour communiquer sur le lien de communication L1 sans fil avec l'antenne 100A du module de contrôle d'accès 100, notamment pour déverrouiller le véhicule 10.

Ainsi, lorsque le dispositif 20 pénètre dans la zone de couverture du véhicule 10 dans laquelle le module de contrôle d'accès 100 émet périodiquement un signal de diffusion, le dispositif 20 est apte à recevoir ce signal de diffusion et à répondre au module de contrôle d'accès 100 en envoyant une requête de déverrouillage comprenant l'identifiant du dispositif 20 qui permet d'authentifier et d'autoriser le déverrouillage du véhicule 10 par le module de contrôle d'accès 100.

On notera que d'autres données peuvent être échangées sur le lien de communication sans fil L1 entre le dispositif 20 et le module de contrôle d'accès 100 sans que cela ne soit limitatif de la portée de la présente invention.

Le module de gestion 200 est également configuré pour recevoir le signal d'interrogation émis périodiquement par le module de contrôle d'accès 100, et pour, à chaque réception dudit signal d'interrogation, déclencher une première temporisation dont la durée est supérieure à la période d'émission du signal d'interrogation. De préférence, la durée de la première temporisation est comprise entre 3 et 15 minutes. Une marge, par exemple de 5 %, peut être prévue afin de compenser l'imprécision des horloges des composants électroniques utilisées dans le dispositif 20 le cas échéant.

Le module de gestion 200 est également configuré pour détecter un état immobile du dispositif 20 lorsque le capteur de mouvement 210 ne détecte aucun mouvement pendant la durée d'une deuxième temporisation.

Dans une première forme de réalisation, la deuxième temporisation est déclenchée à chaque mouvement du dispositif 20 détecté par le capteur de mouvement 210, la durée de la deuxième temporisation étant alors supérieure à la durée de la première temporisation.

Dans une deuxième forme de réalisation, la deuxième temporisation est déclenchée uniquement lorsque la première temporisation a expiré.

De préférence, la durée de la deuxième temporisation est supérieure à la durée de la première temporisation. La durée de la deuxième temporisation peut par exemple être comprise entre 3 et 20 minutes. Par les termes « temporisation », on entend un intervalle de temps d'une durée prédéterminée. En pratique, une telle temporisation peut par exemple être mise en œuvre en utilisant un compteur informatique. La gestion d'une telle temporisation étant connue en soi elle ne sera pas davantage détaillée ici.

Le module de gestion 200 est aussi configuré pour désactiver le dispositif et notamment la fonction de déverrouillage du véhicule lorsque la première temporisation s'est écoulée et qu'un état immobile du dispositif est détecté.

Par les termes « désactiver le dispositif » et « désactivation du dispositif », on entend que le dispositif bascule dans un mode « inactif » dans lequel il est inapte à envoyer une requête de déverrouillage, par exemple en interrompant l'alimentation électrique de son antenne ou en envoyant un message d'état désactivé au lieu d'envoyer une requête de déverrouillage suite à la réception d'un signal de diffusion.

Dans une forme de réalisation préférée, tant qu'il est dans la zone de couverture du module de contrôle d'accès 100, le dispositif 20 reçoit périodiquement le signal de diffusion émis par le module de contrôle d'accès 100 auquel il répond pour l'informer de sa présence. Lorsque le dispositif 20 sort de la zone de couverture du signal de diffusion, le module de contrôlé d'accès 100 ne reçoit plus de message de présence de la part du dispositif 20 et procède alors au verrouillage du véhicule 10.

L'invention va maintenant être décrite dans sa mise en œuvre en référence aux figures 1 à 3.

Tout d'abord, le véhicule 10 étant verrouillé, le module de contrôle d'accès 100 émet de manière périodique un signal de diffusion dans une zone de couverture s'étendant autour du véhicule 10, par exemple dans un rayon de 10 mètres.

Lorsqu'un utilisateur portant le dispositif 20 entre dans la zone de couverture et reçoit le signal de diffusion, le dispositif 20 envoie une requête de déverrouillage comprenant son identifiant au module de contrôle d'accès 100.

Une fois que le module de contrôle d'accès 100 a reçu la requête de déverrouillage, il authentifie le dispositif 20 dans une étape E1 . Pour cela, il vérifie que l'identifiant du dispositif 20 est valide, c'est-à-dire correspond à un dispositif 20 autorisé à déverrouiller les ouvrants du véhicule 10, puis il commande le déverrouillage desdits ouvrants, par exemple les portes ou le coffre, dans une étape E2.

Une fois les ouvrants du véhicule 10 déverrouillés, le module de contrôle d'accès 100 commence à émettre périodiquement un signal d'interrogation dans une étape E3.

A chaque réception d'un signal d'interrogation, le module de gestion 200 du dispositif 20 déclenche, dans une étape E4, une première temporisation dont la durée est supérieure à la période d'émission du signal d'interrogation par le module de contrôle d'accès 100. Autrement dit, la première temporisation est réarmée à chaque fois que le signal d'interrogation périodique est reçu. Aussi, tant que le dispositif 20 sera à portée d'émission du module de contrôle d'accès 100 et qu'il recevra le signal d'interrogation, la première temporisation sera effective.

Parallèlement, un état immobile du dispositif 20 est déterminé par le module de gestion 200 lorsque le capteur de mouvement 210 ne détecte aucun mouvement pendant la durée d'une deuxième temporisation (étape E5).

Dans un premier mode de réalisation, la deuxième temporisation est déclenchée à chaque mouvement détecté par le capteur de mouvement 210, la durée de la deuxième temporisation étant alors supérieure à la durée de la première temporisation. Dans ce cas, la deuxième temporisation est ainsi réarmée tant que le dispositif 20 sera en mouvement.

Dans un deuxième mode de réalisation, la deuxième temporisation est déclenchée uniquement lorsque la première temporisation a expiré.

Le dispositif 20 reste actif tant que la première temporisation est effective, c'est-à-dire tant que le signal d'interrogation émis par le module de contrôle d'accès 100 est reçu par le dispositif 20.

La première temporisation expire lorsque le dispositif 20 ne reçoit plus le signal d'interrogation. Cela peut être le cas lorsque le dispositif 20 n'est plus dans la zone de réception du signal d'interrogation (par exemple parce que le dispositif 20 aura été éloigné du véhicule 10 par un utilisateur) ou lorsque le module de contrôle d'accès 100 stoppe l'émission périodique du signal d'interrogation, par exemple lorsque l'habitacle du véhicule 10 est verrouillé par le dispositif 20.

Une fois que la première temporisation a expiré, le dispositif se désactive dans une étape E6 lorsqu'un état immobile du dispositif 20 est détecté, empêchant alors toute attaque relais.

Lorsque cet état immobile est détecté en utilisant une deuxième temporisation, le dispositif 20 se désactive lorsque la deuxième temporisation expire, c'est-à-dire lorsque le capteur de mouvement 210 n'a détecté aucun mouvement pendant la durée de ladite deuxième temporisation.