FR2702509A1 - Dispositif de fermeture à haute sécurité. - Google Patents

Abstract

Le dispositif de fermeture de l'invention comporte au moins un dispositif de clé électronique (1) comprenant une mémoire reprogrammable (14A), un contact de connexion (1'), un dispositif émetteur-récepteur (12, 13 et 18), un codeur (15), un décodeur (19) et une mémoire temporaire (20), ce dispositif de clé coopérant avec un dispositif réceptacle (2) comprenant un contact de connexion approprié à celui de la clé et relié à un réseau (3) de transmission auquel sont reliés un module maître (5) de supervision et au moins un module satellite actif (6), chaque module comportant au moins une mémoire reprogrammable (55A, 55B), un récepteur et décodeur (50), un codeur et émetteur (52), au moins un comparateur, le module maître comportant en outre des moyens de calcul de nouveau code (29), mémorisé dans toutes les mémoires reprogrammables correspondantes, les modules actifs comportant en outre un dispositif d'actionnement (58).

Description

DISPOSITIF DE FERMETURE A HAUTE SECURITE
La présente invention se rapporte à un dispositif de fermeture à haute sécurité.

Les clés de serrures ont d'abord été purement mécaniques, et malgré leur complexité croissante, les malfaiteurs ont réussi soit à crocheter les serrures, soit à fabriquer des copies des vraies clés.

En général, le temps mis à crocheter les serrures est fonction de la complexité des clés et de leurs serrures.

On a ensuite inventé des clés électromécaniques comportant des composants magnétiques ou électroniques de codage, dont les combinaisons sont beaucoup plus difficiles à trouver que celles des clés mécaniques.

Cependant, lorsque les serrures font partie soit de logements en location (logements de vacances par exemple), soit d'objets mobiles, tels que des coffres-forts de location ou des voitures automobiles, il est possible à un malfaiteur d'obtenir par la ruse ou la force les clés et même d'en faire une copie pour pénétrer dans le logement, ou s'emparer plus tard de l'objet sans perpétrer d'effraction.

La présente invention a pour objet un dispositif de fermeture à clé et serrure qu'un malfaiteur ne puisse ouvrir, même s'il dispose de la copie de la clé et de la serrure
Le dispositif de fermeture conforme à l'invention comporte au moins un dispositif de clé électronique comprenant une mémoire reprogrammable un contact de connexion, un dispositif émetteur-récepteur, un codeur, un décodeur et une mémoire temporaire, ce dispositif de clé coopérant avec un dispositif réceptacle comprenant un contact de connexion approprié à celui de la clé et relié à un réseau de transmission auquel sont reliés un module maître de supervision et au moins un module satellite actif, chaque module comportant au moins une mémoire reprogrammable, un récepteur et décodeur, un codeur et émetteur, au moins un comparateur, le module maître comportant en outre des moyens de calcul de nouveau code, mémorisé dans toutes les mémoires reprogrammables, les modules actifs comportant en outre un dispositif d'actionnement.

La présente invention sera mieux comprise à la lecture de la description détaillée d'un mode de réalisation, pris à titre d'exemple non limitatif et illustré par le dessin annexé, sur lequel: -la figure 1 est un bloc-diagramme simplifié d'un dispositif de fermeture incorporant un dispositif de clé de sécurité conforme à l'invention; - la figure 2 est un bloc-diagramme de la clé électronique du dispositif de la figure 1; - les figures 3 et 4 sont respectivement un bloc-diagramme de la serrure maître du dispositif de la figure 1; et un bloc-diagramme du générateur de codes de cette serrure maître, - la figure 5 est un bloc-diagramme d'une serrure satellite du dispositif de la figure 1; et, - les figures 6 à 8 sont respectivement des organigrammes du fonctionnement de la serrure maître, d'une serrure satellite à action de coupure seule, et d'une serrure satellite à action destructrice.

L'invention est expliquée cidessous en référence à l'application à une voiture automobile, mais il est bien entendu qu'elle n'est pas limitée à cette application et qu'elle peut être mise en oeuvre dans de nombreux domaines divers dans lesquels il est nécessaire d'avoir un dispositif de fermeture de sécurité, en particulier lorsque des malfaiteurs sont susceptibles de se procurer une clé ou de la copier et/ou de copier ou de connaître les caractéristiques de la serrure.

Le dispositif de fermeture schématiquement représenté en figure 1 comporte essentiellement une clé 1A électronique (faisant partie d'un jeu de clés 1 A, 1 B, 1C... comportant les mêmes éléments, seul le contenu de leur mémoire étant différent, ceci afin d'éviter, en cas de perte de l'une des clés qu'un voleur puisse s'en servir, comme expliqué ci-dessous). Cette clé coopère avec un réceptacle 2, relié, via un fusible F au réseau existant 3 de conducteurs électriques du véhicule qui sont reliés en permanence à la batterie 4 du véhicule. Le réceptacle 2 est avantageusement l'embase de l'allume-cigares du véhicule. Bien entendu1 la clé mécanique habituelle dite "d'antivol" et servant à actionner le démarreur du véhicule peut subsister.

L'extrémité antérieure 1' de la clé 1A est conformée de façon à s'adapter à la borne positive du réceptacle 2. Selon une variante avantageuse, le réceptacle 2 est précédé d'un dispositif faisant office de "filtrage mécanique", par exemple un canon à profil spécial coopérant avec des "dents" correspondantes disposées sur le corps de la clé 1, ceci surtout afin d'éviter au conducteur habituel du véhicule d'introduire dans le réceptacle 2 une clé ne correspondant pas au véhicule, et d'autre part pour caractériser une effraction délibérée d'un malfaiteur en l'obligeant à détruire au moins partiellement ce dispositif de filtrage qui n'est pas nécessairement très résistant ni complexe. La réalisation d'un tel dispositif de filtrage mécanique est évidente pour l'homme du métier et ne sera pas décrite plus en détail.

Bien entendu1 dans d'autres applications, pour lesquelles on ne dispose pas d'un réseau existant de conducteurs électriques, on met en place un réseau de transmission, qui peut être à conducteurs électriques, à fibres optiques, ou radioélectrique.

On relie au réseau 3 un module maître 5, et par exemple deux modules 6, 7,. Ces modules 6, 7 ... sont dits satellites et sont décrits en détail ci-dessous.

Le module maître 5, qui a un rôle de supervision du dispositif de fermeture et un rôle de reprogrammation des modules satellites et de toutes les clés 1A, 1 B, 1 C, .. coopère avec un dispositif 8 de personnalisation (qui peut en être distinct ou lui être intégré). Le dispositif 8 de personnalisation qui n'est pas nécessairement utilisé, comporte un ou plusieurs interrupteurs ou dispositifs analogues accessibles à l'utilisateur. On relie, par exemple directement au module 5 un réceptacle 2' similaire au réceptacle 2, et un boîtier de commande 2" mettant en service ce réceptacle 2'. Le réceptacle 2' sert, comme expliqué plus en détail ci-dessous, à la programmation d'une nouvelle clé de secours.

On a représenté en figure 2 le bloc-diagramme de l'une des clés par exemple de la clé 1A (toutes les clés ont un schéma identique). La clé 1A comporte un transformateur 9 dont un enroulement 10 est relié entre la masse et le pôle positif de la batterie. Une borne d'un autre enroulement 11 du transformateur 9 est reliée à la masse et l'autre à la sortie d'un modulateur 12.

L'une des entrées (de signal porteur) du modulateur 12 est reliée à la sortie d'un oscillateur 13. Bien entendu, aussi bien dans le cas de la clé que dans le cas des modules décrits ci-dessous, le couplage au réseau électrique ne se fait pas nécessairement par transformateur, d'autres couplages pouvant être utilisés (couplage direct, par condensateur, résistance ...)Une mémoire 14A électriquement effaçable (type EEPROM par exemple) est reliée via un dispositif 15 de codage à l'entrée de signal modulant du modulateur 12. La fréquence de l'oscillateur 13 est par exemple de quelques MHz. Le transformateur 9 comporte un troisième enroulement 16 dont une borne est reliée à la masse et l'autre à l'entrée d'un récepteur 17 comportant essentiellement un démodulateur 18 suivi d'un décodeur 19.Le décodeur 19 est d'un type approprié au protocole de transmission utilisé par le module maître 5. La sortie du décodeur 19 est reliée via une mémoire temporaire 20 à la mémoire 14A. Le décodeur 19 est relié à l'entrée de validation de la mémoire 20 (afin de valider la transmission du code contenu dans cette mémoire vers la mémoire 14A lorsque le module maître s'est assuré que ce code est le bon). L'entrée de lecture de la mémoire 20 est reliée au codeur 15 (afin d'envoyer au module maître, en tant qu'accusé de réception, le nouveau code reçu de ce module maître pour que ce dernier le compare au nouveau code qu'il vient de générer).La clé 1A comporte également un convertisseur continu/continu 21 fournissant, à partir de la tension délivrée par la batterie 4 (généralement 12 V.), les tensions d'alimentation nécessitées par les circuits que renferme cette clé ( généralement des tensions de 5 V. et 15 ou 21 V. ).

On a représenté en figure 3 le bloc-diagramme du module maître 5.

Ce module comporte un transformateur 22 à trois enroulements. Un enroulement 23 de ce transformateur est relié entre la masse et le réseau 3.

Une borne du deuxième enroulement 24 du transformateur 22 est reliée à la masse, et son autre borne à une entrée d'un dispositif 25 récepteur et de reconnaissance de codes. Un troisième enroulement 26 du transformateur 22 est relié entre la masse et la sortie d'un émetteur 27 qui comporte un codeur (non représenté), mettant en oeuvre un protocole de transmission à accusé de réception, par exemple le protocole TCPIP. Cet émetteur 27 comporte en outre, comme les clés 1A, 1B .. un oscillateur local et un modulateur (non représentés). La sortie du récepteur 25 est reliée à une première entrée de plusieurs comparateurs 28A, 28B, ....Le module 5 comporte également un générateur de codes 29, décrit ci-dessous en référence à la figure 4.Le générateur 29 est relié à l'émetteur 27, à plusieurs mémoires de codes 30A 30B, ...via un multiplexeur 31, et au dispositif 8 de personnalisation. Les mémoires 30A, 30B,... sont reliées à la deuxième entrée des comparateurs 28A, 28B, ... respectivement. Les sorties des comparateurs 28A, 288,... sont reliées à l'entrée d'horloge CLK du générateur 29 via un circuit OU référencé 32 suivi d'une porte ET 33 et d'un circuit OU 34. La deuxième entrée de la porte ET 33 est reliée à une sortie de validation 35 du décodeur du récepteur 25 (sortie validation active lorsque le module maître et tous les modules satellites ont reconnu le code de la clé venant d'être introduite dans le réceptacle 2 comme valable).La sortie de la porte OU 32 est reliée au décodeur du récepteur 25 (pour lui signaler que, de son côté, le module maître a reconnu le code de la clé comme bon). Le réceptacle 2' de reprogrammation de clé est disposé dans un endroit qui ne peut être accessible qu'après utilisation d'une clé reconnue bonne, de préférence sur le module maître ou à proximité de celui-ci, dans le compartiment moteur.

L'accès à ce compartiment est protégé par son capot qui est verrouillé grâce à un dispositif de blocage commandé par un module satellite (7) et fixé d'une part au châssis, et d'autre part à la face intérieure de ce capot, près de son centre. Ainsi, un voleur ne disposant pas de la bonne clé est obligé de forcer le capot, ce qui active un capteur d'effraction caractérisée, et déclenche une action d'immobilisation ou de destruction d'un élément mécanique eVou électrique essentiel de la voiture. Le réceptacle 2' est relié au réseau électrique 3 de la voiture. A proximité de ce réceptacle, de préférence sur le module maître, on dispose un boîtier de commande 2".Ce boîtier de commande 2" comporte un circuit 36, par exemple à micro-interrupteurs, permettant à l'utilisateur de former le numéro de la nouvelle clé à programmer (à la place de la clé détruite ou perdue ou volée). Le circuit 36 est relié à un circuit OU 37 dont la sortie est reliée à l'entrée de commande du multiplexeur 31, et à un autre circuit OU 38 dont la sortie est reliée au codeur de l'émetteur 27. La sortie de décodage de numéros de clés du décodeur du récepteur 25 est reliée à la deuxième entrée de la porte OU 37 et à la deuxième entrée de la porte OU 38. Le boîtier de commande 2" comporte également un circuit 39 produisant sur une sortie 40 un ordre de mise à l'écoute, par tous les modules satellites, uniquement des messages provenant du module maître, et produisant sur une sortie 41 une impulsion d'horloge. Cette sortie 41 est reliée à la deuxième entrée de la porte OU 34.La sortie 40 est reliée au codeur de l'émetteur 27. Le module maître 5 comporte également un convertisseur continulcontinu 5A similaire au convertisseur 21 des clés 1A, 18,...

On a représenté en figure 4 le bloc-diagramme d'un exemple de réalisation du générateur 29. Ce générateur comporte un registre 42 à bascules D. Une partie des entrées du registre 42 est reliée au dispositif 8 de personnalisation, et l'autre aux sorties parallèles d'un compteur 43 dont l'entrée est reliée à un oscillateur 44. Les sorties du registre 42 sont reliées par un sérialiseur (P.l.A.) 45 à la sortie 46 du générateur 29, qui est reliée à l'émetteur 27 et au multiplexeur 31. Le dispositif de personnalisation 8 généralement utilisé à l'initialisation, comporte par exem ple un ensemble 8A de micro-inverseurs reliant chacun une entrée correspondante du registre 42 au zéro logique (masse) ou au "1" logique (+ 5V. par exemple) suivant la position de l'inverseur.Cette position est fixée arbitrairement par le propriétaire du véhicule à la mise en service du dispositif de fermeture de l'invention. Le dispositif 8 peut également comporter un circuit 88 fournissant la valeur binaire de la date courante ou d'une date quelconque.

La fréquence de l'oscillateur 44 est quelconque (par exemple comprise entre quelques kHz; et quelques MHz.) et elle n'a pas besoin d'être stable. Cet oscillateur est avantageusement un multivibrateur délivrant une tension sensiblement rectangulaire. On peut aussi utiliser un oscillateur sinusoïdal suivi d'un circuit de mise en forme (par exemple écrêteur suivi d'un trigger de Schmitt) délivrant une tension sensiblement rectangulaire. Le compteur binaire 43 compte constamment le nombre de périodes du signal de l'oscillateur 44 à partir de sa mise en fonctionnement. Le compteur 43 est remis à zéro dès qu'il atteint son état de comptage maximal (par exemple cet état est égal à 65536 si le compteur a 16 sorties). Si la fréquence de l'oscillateur 44 est d'au moins plusieurs kHz. , la série de nombres présents sur ses sorties à des instants quelconques successifs (correspondant à des événements normaux tels que des mises en route de la voiture) distants de quelques dizaines de minutes ou de quelques heures peut être considérée comme aléatoire.

On a représenté en figure 5 le bloc diagramme de la partie électrique et de traitement de signal d'un module satellite quelconque, par exemple le module 6. Seule la partie "active" des modules est différente selon l'action qu'on leur fait exercer. Ce module 6 comporte un transformateur 47 à trois enroulements. L'un de ces enroulements, référencé 48, est relié entre la masse et le + 12 V. Un autre enroulement 49, est relié entre la masse et
L'entrée d'un récepteur 50. Le troisième enroulement 51 est relié entre la masse et la sortie d'un émetteur 52. L'émetteur 52 est par ailleurs relié à la sortie du récepteur 50. Le récepteur 50 est relié par une mémoire temporaire 53 et un multiplexeur 54 à des mémoires électriquement effaçables 55A, 55B, .. (EEPROM par exemple).Les mémoires 55A, 55B, ... sont par ailleurs reliées à une entrée d'un comparateur correspondant 56A, 56B, ... dont l'autre entrée est reliée à la sortie du récepteur 50. Les sorties des comparateurs 56A, 56B, ... sont reliées, via un OU référencé 57 à un dispositif 58 de mémorisation d'ordres et d'interprétation d'ordres, qui est par ailleurs relié au récepteur 50 et à un capteur d'effraction grave 59. Le module 6 comporte également un convertisseur continu/continu 60 similaire au convertisseur 5A du module maître. La sortie de la porte 57 est par ailleurs reliée au codeur de l'émetteur 52. L'entrée de lecture de la mémoire 53 est reliée au codeur de l'émetteur 52. Le décodeur de récepteur 50 est relié à l'entrée de signaux d'horloge de la mémoire 53.

Le fonctionnement des trois catégories de sous-ensembles principaux du dispositif de fermeture de l'invention (clés électroniques, module maître et modules satellites) est le suivant. On suppose d'abord que la fermeture a été initialisée (I'initialisation est décrite plus loin ci-dessous), c'est-à-dire que les mémoires électriquement effaçables de tous les sousensembles contiennent des codes valides, étant bien entendu que le propriétaire du véhicule possède plusieurs clés 1A, 18, comportant respectivement chacune une mémoire électriquement effaçable 14A, 14B, ....

mémoires auxquelles correspondent respectivement les mémoires 30A, 30B .. du module maître et les mémoires 55A, 55B de chacun des modules satellites. Bien entendu, dans chaque clé, le dispositif de codage 15 ajoute au code confidentiel proprement dit (code mémorisé dans la mémoire 14A, ou 14B, ...) un préambule comportant au moins une information signifiant que le code est émis par une clé (pour le différencier des codes émis par le module maître et par les modules satellites) et une information de numéro de clé.

Lorsque le propriétaire du véhicule introduit une clé valide, par exemple la clé 1A comportant la mémoire 14A, dans l'allume cigares 2, le convertisseur 21 de cette clé reçoit la tension + 12 V du véhicule, et alimente tous les circuits de cette clé. Le code mémorisé dans la mémoire 14A de cette clé module (dans le modulateur 12) la porteuse générée par l'oscillateur 13 et est transmis avec ledit préambule via les enroulements 11 et 10 du transformateur 9 au réseau électrique 3 du véhicule, et en particulier au module maître 5 et à tous les modules satellites 6, 7 .., selon un protocole approprié.

Dans le module maître 5, la porteuse modulée par ce code est transmise par le transformateur 19 au récepteur 25. Ce récepteur 25 démodule le signal reçu et en extrait le code (après suppression des informations de service telles que les bits de préambule, de parité, de "checksum", ...). Ce code est envoyé aux entrées correspondantes des comparateurs 28A, 28B, .. Ces comparateurs reçoivent sur leurs autres entrées reliées aux mémoires 30A, 308, ... les codes mémorisés dans ces mémoires.Si la clé est bien la clé 1A, le comparateur 28A émet à sa sortie un signal "OUI" (un "1" logique) qui est transmis via la porte 32 et la porte 33 (qui est validée par le décodeur du récepteur 25 si tous les modules satellites lui ont bien transmis un signal signifiant qu'ils ont aussi reconnu la clé 1A) à l'entrée CLK de signaux d'horloge du registre 42 qui envoie son contenu déterminé à l'instant où le registre reçoit le front actif du signal "OUI", à l'émetteur 27 qui le mémorise temporairement. Ledit contenu du registre 42 est un nombre que l'on peut considérer comme aléatoire, qui est fonction de l'état du dispositif de personnalisation 8, et surtout de l'état de comptage du compteur 43, état qui varie à la fréquence de l'oscillateur 44.

En même temps, le récepteur 50 de chacun des modules satellites reçoit le signal modulé par le code de la clé (via les enroulements 48 et 49 du transformateur 47). Après démodulation et suppression des informations de service, ce code est transmis aux comparateurs 56A, 56B, .. Si ce code est bien celui de la clé 1A, le comparateur 56A émet un "OUI" sur sa sortie. Ce "OUI" est envoyé d'une part au dispositif 58, et d'autre part à l'émetteur 52 qui le transmet, selon un protocole approprié (incluant l'identité du module satellite), au module maître, qui attend les "OUI" de tous les modules satellites avant de procéder à la diffusion du nouveau code.

Si le module maître reçoit au moins un "NON" de la part des modules satellites, ou s'il produit lui-même un "NON", son émetteur 52 envoie un signal, codé de façon appropriée, à la clé pour lui demander de ré-émettre son code. Ce processus peut se répéter plusieurs fois, mais si au bout du dernier essai autorisé, au moins un "NON" subsiste, le module maître envoie aux modules satellites "passifs" (exerçant à l'arrêt de l'automobile une action de blocage du verrouillage du capot moteur, blocage de la direction, du frein de parcage ...) un signal de confirmation de blocage, et aux modules satellites "actifs" (exerçant une action de coupure électrique ou de destruction) un signal d'armement".Ce signal d'armement prépare ces modules actifs à agir dès que leur capteur 59 aura détecté une tentative d'effraction grave (ouverture forcée du capot moteur, remorquage ou levage de la voiture ...).

Si le module maître reçoit un "OUI" des modules satellites et produit lui-même un "OUI", il passe à la phase suivante de diffusion du nouveau code.

Dès que le récepteur 25 a reçu tous les "OUI" précités, il envoie un signal de validation à l'émetteur 27 dont la mémoire temporaire a mémorisé le nouveau code. L'émetteur 27 diffuse ce nouveau code avec un préambule de reconnaissance, via le transformateur 22, sur le réseau 3, et donc à la clé 1A et à tous les modules satellites 6, 7, ..

Dans la clé 1A, I'enroulement 16 du transformateur 9 transmet le signal modulé au décodeur 19 qui en extrait le nouveau code et l'envoie à la mémoire 20 pour stockage temporaire. Lorsque la mémoire 20 a reçu le nouveau code, elle envoie via le codeur 15 un accusé de réception au module maître. Cet accusé de réception peut soit être un signal du type OUI/NON, soit, de préférence, le contenu du nouveau code reçu.

De façon analogue, le récepteur 50 de chacun des modules satellites reçoit ce nouveau code, le stocke dans la mémoire temporaire 53, et transmet un accusé de réception à l'émetteur 52, qui le renvoie, suivant un protocole approprié, via l'enroulement 51 du transformateur 47 et le réseau électrique 3, au module maître. Comme dans le cas de la clé, cet accusé de réception soit est du type OUI/NON, soit, de préférence, contient le nouveau code reçu. Dans le cas où les accusés de réception contiennent le nouveau code, le récepteur 25 du module maître transmet ce nouveau code, que lui renvoient les modules satellites, à l'émetteur 27 qui le compare à celui qu'il a mémorisé.

Bien entendu, les accusés de réception de la clé et des modules satellites sont émis de façon décalée dans le temps afin de ne pas interférer mutuellement. De façon avantageuse, le module maître émet individuellement (avec un préambule correspondant à l'identité du destinataire) le code destiné à la clé et à chacun des satellites, et attend un accusé de réception de chacun de ces éléments avant d'émettre le code à l'élément suivant. En variante, le module maître émet le nouveau code simultanément à tous les éléments mais chacun d'eux le renvoie avec un retard propre à cet élément, la durée de ce retard étant suffisante pour permettre une ou plusieurs re-diffussions de ce nouveau code.

Lorsque le module maître a reçu tous les bons accusés de réception, il envoie (une ou plusieurs fois) un ordre général de mémorisation du nouveau code. Dans la clé lA, le décodeur 19 du récepteur 17 valide la sortie de la mémoire temporaire 20, dont le contenu (le nouveau code estimé bon par le module maître) est mémorisé dans la mémoire 14A. Dans chacun des modules satellites, le décodeur du récepteur 50 valide la sortie de la mémoire temporaire 53 dont le contenu est transmis, via le multiplexeur 54, à la mémoire 55A (le récepteur 50, sachant, grâce au préambule du code reçu, qu'il s'agit du code de la clé 1A, aiguille le multiplexeur 54 vers la mémoire 55A).Après cette phase de mémorisation, on peut laisser la clé dans son réceptacle, ou l'ôter, puisqu'à ce moment, et jusqu'à la coupure normale du contact principal, tous les modules actifs sont inhibés, et le module maître ne traite plus les éventuels signaux qu'il pourrait recevoir.

Dans le cas où la clé introduite dans le réceptacle 2 n'est pas la bonne, ni le module maître ni les modules satellites ne la reconnaissent pas, même après plusieurs essais de transmission de son code (sauf si, par hasard son code correspondait à l'un des codes mémorisés dans les mémoires 30A, 30B,.. et les mémoires 55A, 55B,..., ce qui, statistiquement, est hautement improbable, puisque le code peut être très long, par exemple de 32 bits, soit moins d'une chance sur 4.109). Dans ce cas, comme précisé ci-dessus, les modules "passifs" restent bloqués, et les modules "actifs" sont armés, dans l'attente d'une information d'effraction "grave" émise par l'un au moins des capteurs 59.Dès qu'une telle information est émise, le ou les module(s) actif(s) concerné(s) agit (agissent) par exemple en bloquant ou en détruisant au moins partiellement un élément électrique ou mécanique essentiel de la voiture et avertit tous les autres modules passifs par l'intermédiaire du module maître.

L'initialisation du dispositif de fermeture de l'invention se passe de la manière suivante. Toutes les mémoires électriquement effaçables (14A, 30A, 308, .. et 55A, 55B ...) des clés et des différents modules achetés comportent le même code d'origine, par exemple, pour simplifier, le code zéro (c'est-à-dire que tous les bits du code sont à zéro). Lorsque tous les modules sont reliés au réseau électrique de la voiture, le multiplexeur 31 du module maître et le multiplexeur 54 de chaque module satellite sont aiguillés par les décodeurs de leurs récepteurs respectifs en première position (vers les mémoires 30A et 55A respectivement) correspondant à la clé numéro un.

Etant donné que les mémoires de tous les éléments contiennent la même information (zéro), le registre 42 du générateur 29 du module maître reçoit une impulsion d'horloge qui "gèle" le nombre binaire présent à cet instant sur ses entrées. Ce nombre binaire, qui est le nouveau code de la clé numéro 1 est envoyé, selon le protocole décrit ci-dessus, par le module maître à la mémoire 14A de la clé, à la mémoire 30A et aux mémoires 55A de tous les modules satellites. Ensuite, lorsque le propriétaire introduit la clé suivante, les multiplexeurs 31 et 54 sont aiguillés en deuxième position. De la même façon, un autre code est mémorisé dans les mémoires 148, 30B et 55B, et ainsi de suite pour toutes les autres clés.Bien entendu, le nombre de mémoires électriquement effaçables du module maître et des modules satellites est égal ou supérieur au nombre de clés que l'on utilise.

Lorsqu'une clé a été perdue, volée ou abîmée, ou si le propriétaire du véhicule veut mettre en service une clé de secours supplémentaire (si, à l'initialisation, le nombre de clés mises en service a été inférieur au nombre de mémoires électriquement effaçables), il doit tout d'abord introduire dans le réceptacle 2 une clé bonne, ce qui inhibe les modules satellites, et permet en particulier d'ouvrir le capot du compartiment moteur pour permettre l'accès au réceptacle 2' et au boîtier de commande 2". Le propriétaire positionne tout d'abord le dispositif 36 sur le numéro de la clé à coder. Ce numéro est donc envoyé au multiplexeur 31 (via la porte 37) et au codeur de l'émetteur 27 (via la porte 38) qui le mémorise pour l'incorporer au code qu'il émettra ultérieurement.

Ensuite, le propriétaire active (par exemple en appuyant sur un bouton-poussoir) le dispositif 39 qui envoie une impulsion (via la porte 34) au registre 42 du générateur 29. Cette impulsion "gèle" le nombre binaire présent sur les entrées du registre à l'instant où elle lui parvient. Ce nombre est envoyé au codeur de l'émetteur 27, qui le mémorise avec le numéro de clé. Le dispositif 39 envoie également au codeur de l'émetteur 27 un ordre d'écoute.

Cet ordre d'écoute est aussitôt diffusé sur le réseau 3 aux modules satellites et à la nouvelle clé (via le réceptacle 2') pour les mettre à l'écoute uniquement des messages provenant du module maître. Dès que ces éléments ont accusé réception de ce message d'écoute (de la même façon qu'ils accusent réception d'un nouveau code), le module maître leur envoie, selon la procédure habituelle décrite ci < lessus, le nouveau code.

Dans le cas où un voleur force la voiture et ne se sert pas du tout de clé électronique, l'un au moins des capteurs 59 des dispositifs 58 de tous les modules satellites, qui sont, à l'arrêt du véhicule, constamment à l'état de veille, est excité par l'action du voleur (ouverture forcée du capot ou de la colonne de direction, mise en marche du démarreur, remorquage ou levage du véhicule ...) et le signale à son dispositif 58. Celuici déclenche l'action de blocage ou de destruction qui lui est assignée, et en même temps l'information d'effraction (via son émetteur 52) au module maître qui en informe aussitôt tous les autres modules satellites, qui déclenchent leur propre action.

On a repris sur les organigrammes ("flow-charts") des figures 6 à 9 le fonctionnement des différents éléments du dispositif de fermeture de l'invention, une distinction étant établie entre modules satellites "passifs" (figure 7) et "actifs" (figure 8).

En figure 6, se rapportant au module maître, les codes étant stockés, le dispositif attend l'introduction d'une clé (dans le réceptacle 2). Si la clé introduite n'est pas la bonne, n essais sont permis (en variante, une temporisation sépare deux essais successifs autorisés). Après n essais infructueux, le module maître bloque tout essai pendant un certain temps (pré réglé en usine ou par l'utilisateur).

Si la clé est la bonne, le module maître attend les confirmations des modules satellites. Dès qu'il a reçu toutes ces confirmations, il diffuse le nouveau code qu'il a mémorisé temporairement, et attend les accusés de réception de la clé introduite et de tous les modules satellites. Dès qu'il a reçu tous ces accusés de réception, il valide le nouveau code, qui est mémorisé dans toutes les mémoires électriquement effaçables.

Pour chacun des modules satellites (figure 7) à action "passive" (sans destruction), les codes étant stockés, le module étant armé, attend l'introduction d'une clé. Si la clé introduite n'est pas la bonne, il en avertit le module maître et attend un nouvel essai (si celui-ci est autorisé par le module maître). Si la clé est la bonne, il se place dans l'attente de la réception d'un nouveau code.

Dès que ce nouveau code est reçu, le module en question envoie un accusé de réception au module maître. Si ce dernier n'a pas reçu tous les accusés de réception, ou a reçu au moins un mauvais accusé de réception, il fait répéter tous les modules (ou les modules fautifs). Lorsque tous les bons accusés de réception sont reçus par le module maître, celui-ci envoie un signal de validation à tous les modules satellites (et à la clé), qui procèdent au stockage de ce nouveau code et libèrent les organes qu'ils bloquaient (ou rétablissent les liaisons qu'ils coupaient) à l'arrêt du véhicule. Ensuite, tous ces modules restent dans l'attente de la coupure normale du contact principal du véhicule, et se réarment (blocage d'organes eVou coupure de liaisons).

Dans le cas de chacun des modules (figure 8) à action "dure" (destruction ou blocage important de liaisons ou d'organes électriques etlou mécaniques), si la clé introduite n'est pas reconnue bonne après N essais (N déterminé à la fabrication ou par le propriétaire du véhicule), le module en question en avertit le module maître, déclenche, si on le désire, une alarme classique, arme les moyens d'action "dure" (par exemple libère une goupille de sécurité ou ferme un contact mettant sous tension ces moyens), ceux-ci n'étant pas armés à l'arrêt de la voiture, ni en utilisation normale, afin d'éviter toute action "dure" intempestive en cas de fausse alarme (due à un choc, à des parasites captés par le réseau électrique de la voiture, . . .). Si, alors, le capteur d'effraction du module détecte une effraction, il déclenche l'action "dure".Bien entendu, s'il se produit une effraction sans introduction de clé, il y a aussitôt armement des moyens d'action "dure" et déclenchement de ces moyens.

En figure 9, on a représenté l'organigramme de l'initialisation d'une nouvelle clé (dans laquelle est stocké un code nul par exemple). Pour cela, il faut d'abord introduire une clé bonne. Le dispositif est bloqué après N essais infructueux. Ensuite, l'utilisateur forme le numéro d'ordre de la clé à initialiser (sur le dispositif 36), puis active le dispositif 39, ce qui "gèle" I'état du compteur et définit un nouveau code qui est diffusé à la clé et à tous les modules. Lorsque le module maître a reçu les bons accusés de réception de la clé et de tous les modules satellites, il envoie un ordre de validation à ces éléments, et le processus s'arrête.

En conclusion, le dispositif de fermeture de l'invention présente un grand degré de sécurité, du fait que son code évolue de façon pratiquement aléatoire à chaque utilisation, et du fait que même si l'on copie la clé etlou si on analyse la "serrure", on ne peut l'ouvrir, parce que le code évolue, et que la connaissance du code à un instant donné ne peut permettre de connaître le prochain code.

Claims (9)

REVENDICATIONS

1. Dispositif de fermeture de sécurité, caractérisé par le fait qu'il comporte au moins un dispositif de clé électronique (1) comprenant une mémoire reprogrammable (14A), un contact de connexion (1'), un dispositif émetteur-récepteur (12, 13 et 18), un codeur (15), un décodeur (19) et une mémoire temporaire (20), ce dispositif de clé coopérant avec un dispositif réceptacle (2) comprenant un contact de connexion approprié à celui de la clé et relié à un réseau (3) de transmission auquel sont reliés un module maître (5) de supervision et au moins un module satellite actif (6), chaque module comportant au moins une mémoire reprogrammable (55A, 55B), un récepteur et décodeur (50), un codeur et émetteur (52), au moins un comparateur, le module maître comportant en outre des moyens de calcul de nouveau code (29), mémorisé dans toutes les mémoires reprogrammables correspondantes les modules actifs comportant en outre un dispositif d'actionnement (58).

2. Dispositif selon la revendication 1, caractérisé par le fait que les moyens de calcul de nouveau code comportent un oscillateur (44) relié à un compteur (43) lui-même relié à un registre (42),1'entrée d'horloge du registre étant reliée au(x) comparateur(s) et recevant d'eux une impulsion de validation à chaque utilisation de la clé lorsque celle-ci est reconnue bonne.

3. Dispositif selon la revendication 1 ou 2, caractérisé par le fait qu'il comporte plusieurs clés électroniques (1A, 1B,...) et que chaque module comporte au moins autant de mémoires reprogrammables (30A, 30B,... et 55A, 55B...) qu'il y a de clés, chaque clé correspondant à une série de mémoires reprogrammables (clé 1A pour les mémoires 30A et 55A, etc...), les codes mémorisés dans les différentes clés étant indépendants les uns des autres et évoluant indépendamment.

4. Dispositif selon l'une des revendications précédentes, caractérisé par le fait qu'au moins un module satellite (7) comporte des moyens bloquant l'accès à l'endroit où sont déposés les modules satellites et maître tant que l'on n'utilise pas une bonne clé.

5. Dispositif selon l'une des revendications précédentes, caractérisé par le fait qu'il est appliqué à une voiture automobile.

6. Dispositif selon la revendication 5, caractérisé par le fait que le réceptacle est l'allume-cigare de la voiture et que le réseau de transmission est le réseau électrique de la voiture.

7. Dispositif selon l'une des revendications 5 ou 6, caractérisé par le fait que les modules sont disposés dans le compartiment moteur.

8. Dispositif selon l'une des revendications 5 à 7, caractérisé par le fait que l'un des modules satellites verrouille, à l'arrêt, le capot du compartiment moteur, le dispositif de verrouillage du capot étant fixé à la face intérieure du capot, près de son centre.

9. Dispositif selon l'une des revendications 5 à 8, caractérisé par le fait que les dispositifs d'actionnement des modules satellites exercent l'une au moins des actions suivantes en cas d'effraction: coupure de liaison électrique essentielle, blocage d'éléments électriques ou mécaniques essentiels destruction au moins partielle d'éléments électriques ou mécaniques essentiels, désolidarisation de liaisons mécaniques essentielles.