Des ve hicules connecte s sans compromettre la se curite des personnes et des biens

Transcription

1 Des ve hicules connecte s sans compromettre la se curite des personnes et des biens 1. Enjeux et objectifs Le monde automobile doit répondre à des attentes client en constante évolution apportées notamment par les nouvelles technologies de l information et de la communication. Le défi auquel la filière automobile est confrontée est de réussir la migration du véhicule conventionnel au véhicule connecté avec son environnement pour améliorer la sécurité, la qualité et l offre de services aux clients. La mise en œuvre de ces services doit cependant tenir compte de exigences spécifiques au véhicule routier comme la sécurité des personnes et des biens ou le rythme du renouvellement du parc véhicule, très différentes de celles du monde du consumer électronique auquel appartiennent les Smartphones. Enfin, la solution choisie devra prendre en compte le coût plus ou moins important à supporter par le client non seulement lors de l acquisition mais aussi sur toute la durée de vie du produit. 2. Du véhicule conventionnel au véhicule étendu Bien avant l avènement du monde connecté sans fil, l activité d un constructeur de véhicules ne se limitait déjà plus au seul véhicule conventionnel restreint à son strict périmètre physique. Un exemple de mise en œuvre de cette extension de périmètre est l application par les constructeurs du règlement Européen «Repair and Maintenance Information» développé dès (Sécurité) Avant ce règlement, le seul outil utilisable en atelier après-vente pour la reprogrammation des calculateurs étaient celui du constructeur. Cet outil était conçu de manière à garantir l intégrité fonctionnelle du véhicule. L ouverture à de multiples outils en atelier non maitrisés par le constructeur a conduit au développement d une procédure permettant l échange entre les serveurs constructeurs et le véhicule en utilisant alors ces outils comme de simples passerelles. ECU ECU Identification Outil Constructeur Contenantl identification, la procédure& les données En atelier après-vente Tout outilde diagnostic En atelier après-vente Procédure & Donnéesà télécharger Constructeur 1

2 Dans cette procédure, les serveurs identifient le bon logiciel à reprogrammer pour le calculateur concerné en fonction de la composition véhicule. (Inviolabilité) Pour rendre incontournable la procédure, le mécanisme de déverrouillage de la reprogrammation des calculateurs a été localisé dans les serveurs du constructeur. (Réglementation et respect de l environnement) Ce procédé permet au constructeur de veiller à l intégrité fonctionnelle du véhicule et de s assurer de sa conformité réglementaire quel que soit l opérateur. Il permet également d éviter tout re-paramétrage des logiciels qui pourrait invalider l homologation du véhicule. (Vie privée) Les calculateurs contiennent des fonctions auto-adaptives, strictement internes aux logiciels qui optimisent les points de fonctionnement de chaque véhicule. Un logiciel malveillant pourrait être mis en place pour modifier ces fonctions afin d extraire des informations associables au conducteur. Cette approche de conception est ce que nous définissons comme la méthodologie de conception du véhicule étendu et la solution qui en découle est ce qui constitue le véhicule étendu appliqué à la reprogrammation des calculateurs. Application concrète du véhicule étendu pour la reprogrammation des calculateurs électroniques Véhicule Etendu ECU Fichier Identification + Clef privée + données à télécharger Algorithme de protection Constructeur En atelier après-vente (RA ouoi) On entend donc par véhicule étendu l ensemble des éléments de responsabilité constructeur nécessaires à la réalisation d un service véhicule en tenant compte de la nécessité de préserver la sécurité et l intégrité des personnes et des biens sans oublier la protection de l environnement. Son périmètre doit être considéré selon chaque service véhicule étudié et comprend les éléments embarqués (internes au véhicule) et débarqués ainsi que son interface de communication. Besoin pour le service connecté étudié Méthodologie de conception du véhicule étendu Interface du véhicule étendu Véhicule étendu Véhicule étendu Responsabilité du Constructeur 2

3 3. Une norme internationale en devenir Pour parvenir à la conception de cet ensemble, la Plateforme de la Filière Automobile (PFA) s est engagée dans la recherche de solutions innovantes, accessibles et non discriminatoires tout en laissant à chaque constructeur la possibilité de se différencier par sa conception. Pour cela une méthodologie de conception du véhicule étendu, définissant les principes et les méthodes à prendre en compte lors de la mise en œuvre de nouveaux services connectés a été rédigée sous forme d un standard par la France et acceptée à l ISO comme nouveau sujet normatif. Cette norme devrait être publiée d ici 2 à 3 ans. Ce standard permettra donc de concevoir selon le changement de paradigme induit par le véhicule connecté et devrait être cité comme document applicable dans tout acte règlementaire en lien avec la connectivité (Repair & Maintenance Information, Periodical Technical Inspection, Intelligent Transport System ). Interface du véhicule étendu Véhicule conventionnel Véhicule étendu Responsabilité Constructeur 4. Le véhicule étendu pour quels types de services Nous avons vu que le véhicule étendu est une démarche qui permet pour toute fonction connectée de définir le périmètre de responsabilité constructeur dont son interface vers l'extérieur (appelée interface du véhicule étendu pour la fonction considérée). Le périmètre du véhicule étendu peut donc être plus ou moins important selon la fonction considérée et ses exigences associées. Le cas échéant il peut être réduit au périmètre du véhicule conventionnel. Cependant, compte tenu de l évolution de la technologie dans le temps qui peut faire évoluer la répartition embarquée/débarquée pour un même service connecté, il est préférable de toujours considérer que l on s adresse au véhicule étendu de manière à avoir une interface stable et donc pouvant être standardisée. Nous allons voir dans les exemples suivants comment s articule le véhicule étendu en fonction de la nature du service connecté : Des applications coopératives relatives à la sécurité routière et la gestion de trafic : exemple 1 à 3, Des applications infotainement : exemple 4, Des applications télématique : exemple 5, Des applications de diagnostic à distance : exemples 6. 3

4 Exemple 1 : Service Intelligent Transport system (ITS) pour une application Vehicle To Vehicle (V2V) Cas d usage : Road Hazard Warning Un véhicule détecte de manière automatique un obstacle sur la route. Ceci déclenche l envoi d un message standard diffusé autour du véhicule signalant la position et le type d évènement (obstacle). Le véhicule suiveur équipé de la fonctionnalité interprétera ce message pour déclencher l action adéquate. 1 2 Technologie actuelle : type wifi G5 (1) : Temps réel fort (transmission + temps de réaction inférieur à 300ms) (2) : Temps réel faible (renouvellement des certificats pour anonymiser le véhicule et authentifier les messages) Certaines données déjà standardisées (ETSI, ISO) pour permettre la compréhension (interopérabilité) entre véhicules (signification, format) Les solutions techniques doivent pouvoir évoluer en fonction des technologies disponibles et des contraintes industrielles du moment. Exemple 2 : Service Intelligent Transport system (ITS) pour une application Infrastructure To Vehicle (I2V) Cas d usage : Green Light Optimal Speed Advisory Un feu de trafic envoie périodiquement dans un message standard la position, le cycle et l état du feu tricolore. Tout véhicule équipé recevant ce message évalue la vitesse de passage optimale permettant d éviter l arrêt au feu (dans la limite des vitesses autorisées). S il n est pas possible de franchir le feu, le véhicule ralentit suffisamment tôt pour limiter le freinage (gain en CO²). 1 2 Technologie actuelle : type wifi G5 (1) : Temps réel fort (transmission + temps de réaction inférieur à 300ms) (2) : Temps réel faible (renouvellement des certificats pour authentifier les messages) Certaines données à standardiser pour permettre la compréhension (interopérabilité) entre infrastructure et véhicule (signification, format) Les solutions techniques doivent pouvoir évoluer en fonction des technologies disponibles et des contraintes industrielles du moment. 4

5 Deux fonctions distinctes sont présentes dans ces deux exemples : - Celle qui communique entre le serveur du constructeur et le véhicule (2) où la notion de véhicule étendu apparait clairement - Celle qui établit la communication directe entre véhicules ou avec l infrastructure routière (1). Pour cette fonction, le périmètre du véhicule étendu peut être restreint au véhicule conventionnel. Cependant pour ne pas limiter la solution aux technologies actuelles et laisser au constructeur la responsabilité de sa conception, dans tous les cas l interface de communication doit rester celle du véhicule étendu pour la fonction considérée. Exemple 3 : Service Intelligent Transport system (ITS) pour une application Infrastructure To Vehicle (I2V) Cas d usage : Road Hazard Warning Un gestionnaire d infrastructure ayant planifié des travaux sur route, déclenche l envoi d un message standard diffusé à partir d un serveur dédié vers les véhicules présents dans la zone (quelques kilomètres autour) en signalant la position et le type d évènement (travaux). Tout véhicule recevant ce message évalue la pertinence de l évènement et informe le conducteur N secondes avant la rencontre de l évènement. Technologie actuelle : Cellulaire Temps réel (transmission + temps de réaction de l ordre de quelques secondes) Certaines données à standardiser pour permettre la compréhension (interopérabilité) entre infrastructure et véhicule et infrastructure (signification, format) Les solutions techniques doivent pouvoir évoluer en fonction des technologies disponibles et des contraintes industrielles du moment. 5

6 Pour ce dernier cas d usage, les distances d anticipation étant potentiellement plus grandes, les contraintes temps réels sont moindres que dans les exemples 1 et 2. Les constructeurs peuvent dès à présent adopter plusieurs solutions techniques pour répondre à un même besoin cependant l interface de communication reste celle du véhicule étendu pour la fonction considérée. Constructeur 1 Constructeur 2 Technologie actuelle : Cellulaire Exemple 4 : Fonction multimédia Cas d usage : transmettre des sms ou des mails Un client utilise la fonction de recopie de l écran du smartphone sur l écran véhicule pour lire ou envoyer des sms ou des mails. L utilisation de la fonction dans une situation de vie spécifique à l automobile (véhicule roulant) induit un risque supplémentaire lié à la sécurité routière. Cette fonction doit donc être désactivée lorsque le moteur est tournant pour ne pas perturber le conducteur et ne pas détourner son attention. Il convient donc de limiter l utilisation de certaines fonctions du Smartphone selon la situation de vie du véhicule ou de remplacer l interface visuelle par une interface à commande vocale et restitution sonore. Pas de contrainte temps réel vis-à-vis de l extérieur du véhicule Appairage du Smartphone avec le véhicule Ne pas détourner l attention du conducteur et respecter les règles de la sécurité routière par une limitation de l utilisation du Smartphone Intégration de fonction de recopie de l écran du Smartphone sur l écran du véhicule 6

7 Exemple 5 : Service d auto-partage d un véhicule Cas d usage : Accès à un véhicule par Smartphone Le Smartphone du client contient un applicatif du constructeur qui permet au véhicule de s assurer de la conformité des certificats. Lorsque l authentification de la demande est correcte, l accès au véhicule du client est autorisé. Dans cette fonction le Smartphone est un relais entre le serveur qui fournit les certificats renouvelables et le véhicule. Temps réel faible (quelques secondes) Protection contre le vol du véhicule (cyber-sécurité) Serveur constructeur permettant le déverrouillage de l accès au véhicule Module applicatif intégré au Smartphone du client permettant l appel vers un serveur (constructeur ou autre) Pour ces deux cas d usage, ce n est pas le Smartphone qui porte la fonction mais bien le véhicule étendu. - Dans le premier cas, il est nécessaire d intégrer un dispositif dans le véhicule permettant de discriminer les applications possibles selon la situation de vie véhicule. - Dans le second cas où le Smartphone porte une partie du véhicule étendu, la problématique est similaire à celle du téléchargement de logiciel détaillé dans le chapitre 2 et la solution mise en œuvre comparable. 7

8 Exemple 6 : Remote Diagnostic Cas d usage : Pilotage d actionneur à distance sur un véhicule en bord de route Un client est immobilisé en bord de route en raison d une panne sur son véhicule et demande une assistance à distance. Dans cette situation de vie, certaines opérations de diagnostic peuvent être réalisées dès lors qu elles ne génèrent aucun risque sur la sécurité des personnes et des biens. Le cas du pilotage de certains actionneurs à distance sans contrôle préalable du véhicule par un professionnel compétent ne doit pas être possible pour des raisons de sécurité évidentes. En effet, si par exemple le système d injection venait à présenter une fuite de carburant, le pilotage des injecteurs pourrait entrainer des dommages importants pour la sécurité des passagers sans que le technicien ne puisse intervenir d urgence sur le véhicule. Technicien dans un atelier après-vente Télétransmission Véhicule sur bord de route avec fuite Temps réel faible (transmission + traitement inférieur à 10 minutes) Environnement non maitrisé, état du véhicule non connu, technicien à distance Les données sont propres à chaque véhicule. Le moyen d accéder aux informations est standardisé. Les solutions techniques embarqué/débarqué doivent pouvoir évoluer en fonction des technologies disponibles et des contraintes industrielles du moment. Dans ce type de cas Il convient donc de se prémunir contre l emploi volontaire ou involontaire de certaines fonctions à distance. Pour cela le constructeur conçoit un système adapté à chaque configuration véhicule et capable d évoluer selon les évolutions du véhicule en vie série. Cet ensemble embarqué/débarqué avec son interface de communication constitue le véhicule étendu appliqué à la fonction pilotage d actionneur à distance. 8

9 5. En synthèse : L ouverture du monde automobile aux services connectés ne peut se faire sans maitriser les nouveaux risques intrinsèques portés par ces nouvelles fonctions et leurs impacts sur les fonctions dynamiques du véhicule. Au cours de ce bref exposé, nous avons vu que le concept du véhicule étendu qui s applique à tout type de service connecté est la réponse adaptée aux spécificités de l industrie automobile. Pour chaque fonction considérée, le véhicule étendu permet de répondre à un besoin exprimé : - En prenant en compte les exigences de type sécuritaire, environnementale, vie privée, industrielles, - En laissant la responsabilité à chaque constructeur d optimiser sa conception au fur et à mesure des évolutions technologiques, Il apporte aussi la possibilité de standardiser le moyen d accéder au véhicule étendu pour la fonction considérée sans avoir à tenir compte de la conception propre à chaque constructeur nécessaire pour permettre à chacun de proposer des innovations différencientes. 9