01554_10_00970_2.0_STE_SECURISATION_TRAMES_9659842699_G.pdf

REFERENCE IND PROJECT PAGE
Sécurisation Trames par Checksum et Compteur de Processus
Frames Securization by Checksum and Process Counter
96.598.426.99
01554_10_00970
G
2 All 1/18
THIS DOCUMENT IS THE PROPERTY OF PSA AND CANNOT BE REPRODUCED OR COMMUNICATED WITHOUT ITS AUTHORIZATION
Direction Recherche et Développement
Reference:
96.598.426.99
01554_10_00970
Applicable to:
All
Application date:
2010/09/15
STE Sécurisation Trames par Checksum et Compteur de Processus
Frames Securization by Checksum and Process Counter STE
OBJECT:
Ce document décrit la sécurisation des données critiques d’une trame CAN lorsque les exigences sur leur non
corruption doivent être compatible d’un ASIL C ou D.
This document describes the critical data securization of a CAN frame when the requirements for their integrity
shall be compliant with ASIL C or D.
Writer(s)
Name:
C. HELLER
Entity:
DSEE/CIAE/SDFE/SDFG
Date:
2010/09/15
Signature:
Electronic signature
DocInfo
Checker(s)
Name:
S. TARDIF
Entity:
DSEE/CIAE/SDFE/SDFG
Date:
2010/09/15
Signature:
DocInfo
Approver(s)
Name:
S. ROCHER
Entity:
DSEE/CIAE/SDFE/SDFG
Date:
2010/09/15
Signature:
DocInfo

96.598.426.99
01554_10_00970
G
2 All 2/18
UPDATE TABLE
ID MODIFICATIONS / MODIFICATIONS
Ind. OR 28/01/05
Création
Creation
Ind. A 16/02/2005
Mise à Jour
Update
Ind. B 13/05/2005
Mise à Jour
Update
Ind. C 23/05/2005
Mise à Jour
Update
Ind. D 23/02/2006
Mise à Jour
Update
Ind. E 16/03/2007
Mise à Jour (revue de robustesse)
Update (robustness review)
Ind. F 25/02/2010
01554_10_00970 Ind 1
Mise à Jour (Pour projet HY phase1)
Update (For HY phase1 project)
Ind. G 22/07/2010
01554_10_00970 Ind 2
Mise à jour de la traduction ANG
Update for English translation

96.598.426.99
01554_10_00970
G
2 All 3/18
CONTENTS
1 Objet / Purpose........................................................................................................................................................4
2 Documents de référence et applicable / Reference and applicable documents ..................................................5
2.1 Documents de référence / Reference documents .............................................................................................5
2.2 Documents applicables / Applicable documents .............................................................................................5
2.3 Documents internes PSA / PSA internal documents .......................................................................................5
3 Glossaire et définItions / Glossary and definitions...............................................................................................6
3.1 Principe de numérotation des exigences / Requirements numbering principle................................................7
4 Description d’une trame CAN / Description of a CAN frame.............................................................................8
5 checksum / checksum..............................................................................................................................................9
5.1 Principe / Principle ..........................................................................................................................................9
5.2 Exigences / Requirements..............................................................................................................................11
5.2.1 Exigences pour l’UCE émettrice / Requirements for the sender UCE......................................................11
5.2.2 Exigences pour l’UCE réceptrice / Requirements for the receiver UCE ..................................................13
5.2.3 Exigences communes / Common requirements ........................................................................................14
6 Le compteur de processus / The process counter ...............................................................................................15
6.1 Principe / Principle ........................................................................................................................................15
6.2 Exigences / Requirements..............................................................................................................................15
6.2.1 Exigences pour l’UCE émettrice / Requirements for the sender UCE......................................................15
6.2.2 Exigences pour l’UCE réceptrice / Requirements for the receiver UCE ..................................................17
6.2.3 Exigences communes / Common requirements ........................................................................................17
7 Annexe / Appendix ................................................................................................................................................18
7.1 Exigences documentaires / Document requirements .....................................................................................18
8 FIN DU DOCUMENT / END...............................................................................................................................18

96.598.426.99
01554_10_00970
G
2 All 4/18
1 OBJET / PURPOSE
Ce document décrit la sécurisation des données critiques d’une trame CAN lorsque les exigences sur
leur non corruption doivent être compatible d’un ASIL C ou D.
This document describes the critical data securization of a CAN frame when the requirements for their
integrity shall be compliant with ASIL C or D.
Ce document spécifie :
This document specifies:
• La création du checksum et du compteur de processus par une UCE émettrice
• L’analyse du checksum et du compteur de processus par une UCE réceptrice
• The computation of the checksum and of the process counter by a sender UCE
• The check of the checksum and of the process counter by a receiver UCE
Ce document ne spécifie pas :
This document does not specify:
• Le mode dégradé à mettre en place en cas de détection de défaillance par une UCE réceptrice
• The fail state triggered in case of detected failure by a receiver UCE

96.598.426.99
01554_10_00970
G
2 All 5/18
2 DOCUMENTS DE REFERENCE ET APPLICABLE / REFERENCE AND
APPLICABLE DOCUMENTS
2.1 DOCUMENTS DE RÉFÉRENCE / REFERENCE DOCUMENTS
2.2 DOCUMENTS APPLICABLES / APPLICABLE DOCUMENTS
2.3 DOCUMENTS INTERNES PSA / PSA INTERNAL DOCUMENTS
CCEE_SYTI05_0273 Historique de la sécurisation des données par checksum et compteur de
processus
Background history of the data securization by checksum and process
counter

96.598.426.99
01554_10_00970
G
2 All 6/18
3 GLOSSAIRE ET DÉFINITIONS / GLOSSARY AND DEFINITIONS
Buffer
Buffer
Registre série / parallèle de 8 bits servant d’interface entre la DPRAM et
l’interface série CAN / 8-bit series / parallel register used as interface
between the DPRAM and the CAN serial interface
Constante d’initialisation du
checksum
Init checksum constant
Constante, notée « CHKINI», associée à une trame sécurisée, utilisée
dans le calcul et la vérification du checksum de la trame
Constant called « CHKINI», associated to a secured frame, used for the
computation and the check of the frame checksum
CRC
CRC
Cyclic Redundancy Check : type de checksum, basé non pas sur
l’addition mais sur une opération logique (OU exclusif et polynôme
générateur)
Cyclic Redundancy Check: checksum type, not based on addition but
based on a logical operation (exclusive-OR and generator polynomial)
Désérialisation
Deserialization
Mise dans le buffer des informations de la trame CAN en relecture
Buffering of the CAN frame information for proofreading
DPRAM RAM double port (Dual Port) contenant, pour chaque canal CAN, 8 octets
de données et des registres de contrôle (identifiant, émission/
réception…)
Dual Port RAM containing 8 bytes of data and control registers (identifier,
emission/reception, ...) for each CAN channel
UCE Unité de Contrôle Electronique
Electronic Control Unit
GP Gestionnaire de Protocole
Protocol Manager
Octet
Byte
Ensemble de 8 bits consécutifs
Set of 8 consecutive bits
Quartet
Nibble
Ensemble de 4 bits consécutifs défini comme suit :
ON désigne l’octet N du champ DATA de la trame
ON est constitué de la concaténation des quartets Q2N-1 et Q2N
Illustration (pour une trame de 8 octets) :
Set of 4 consecutive bits defined as follow :
ON designates the byte N of the frame DATA field
ON built by the concatenation of the nibbles Q2N-1 and Q2N

96.598.426.99
01554_10_00970
G
2 All 7/18
Illustration (for an 8-byte frame):
Champ DATA de la trame DATA field of the frame
Sens de lecture Reading direction
Champ DATA
DATA field
Champ de la trame contenant les données d’une longueur de 1 à 8 octets,
longueur notée L dans ce document
Field of the frame containing the 1 to 8-byte long data, length noted L in
this document
Sérialisation
Serialization
Emission en bit à bit du contenu du buffer du GP
Emission of the GP buffer content
3.1 PRINCIPE DE NUMEROTATION DES EXIGENCES / REQUIREMENTS NUMBERING PRINCIPLE
Les exigences sont identifiées comme suit : EXI-SECU-XXX-R-Ind avec :
The requirements are identified as follows: EXI-SECU-XXX-R-Ind with:
• XXX référence à la fonction
• R numéro de rang de l’exigence
• Ind indice de l’exigence (= ind doc si modifiée)
• XXXreference to the function
• R requirement rank number
• Ind requirement index (= ind doc if modified)

96.598.426.99
01554_10_00970
G
2 All 8/18
4 DESCRIPTION D’UNE TRAME CAN / DESCRIPTION OF A CAN
FRAME
Les trames sont décrites dans le document de messagerie propre à chaque UCE.
The frames are described in the messaging document specific to each UCE.

96.598.426.99
01554_10_00970
G
2 All 9/18
5 CHECKSUM / CHECKSUM
5.1 PRINCIPE / PRINCIPLE
Chaque trame contenant des données critiques (sécuritaires) doit contenir un checksum sur un quartet.
Le mécanisme, lié au checksum, permet de sécuriser le contenu des données critiques dès la production par
une tâche applicative d’une UCE jusqu’à la consommation par une tâche applicative d’une autre UCE.
Each frame containing critical (security) data had to contain a checksum on one nibble. The checksum is
used to secure the critical data from their generation by an UCE application task, to their use by an other
UCE application task.
Ce mécanisme permet une protection des échanges de données entre :
This mechanism ensures a data protection between:
- les tâches productrices et le gestionnaire de communication de l’UCE émettrice
- les gestionnaires de communication de l’UCE émettrice et de l’UCE réceptrice
- le gestionnaire de communication de l’UCE réceptrice et les tâches consommatrices
- the generating tasks and the communication manager of the sender UCE
- the communication manager of the sender UCE and the receiver UCE
- the communication manager of the receiver UCE and the user tasks
Ce mécanisme vise à couvrir, pour exemple, les défaillances suivantes :
The purpose of this mechanism is to cover, as example, the following faults:
- altérations dans le buffer du gestionnaire de protocole
- erreurs de transfert buffer / mémoire
- erreurs de sérialisation / dé sérialisation de la donnée
- collages de bits sur le bus de données du microprocesseur
- collages de bits dans la mémoire double port (DPRAM)
- corruptions in the buffer of the protocol manager
- buffer / memory transfer errors
- data serialization / deserialization errors
- bits stuck on the microprocessor's data bus
- bits stuck in the double port memory (DPRAM)
La définition de la sécurisation des échanges (entre producteur / gestionnaire de communication
émetteur et gestionnaire de communication récepteur / consommateur), dépendant de l’architecture du
logiciel, est laissée à la responsabilité du fournisseur. Cette sécurisation peut être obtenue, par exemple, par
une redondance complémentée à 1 de la donnée critique.
The definition of the securization of the exchanges (between the sender generating / emitter
communication manager and user communication manager / receiver), depending on the software
architecture, is left to the supplier's responsibility. This securization can be obtained, for example, for a
redundancy complemented to 1 of the critical data.
La sécurisation des données échangées entre les gestionnaires de messagerie de l’émetteur et du
récepteur, dépendant de la définition de l’inter système, est définie par PSA.

96.598.426.99
01554_10_00970
G
2 All 10/18
The securization of the data exchanged between the messaging managers of the sender and the
receiver, depending on the inter-system definition, is defined by PSA.
Synoptique :
Synoptic:
UCE émettrice Sender UCE
Périmètre de sécurisation de responsabilité
fournisseur
Securization perimeter of supplier’s responsibility
Tâche applicative productrice Generating application task
Donnée(s) sécuritaire(s) Security data
Gestionnaire de communication CAN CAN communication manager
Donnée(s) sécuritaires format CAN
Checksum trame
Compteur de processus trame
Security data in CAN format
Frame checksum
Frame process counter
Interface physique CAN CAN physical interface
UCE réceptrice Receiver UCE
Tâche applicative consommatrice User application task

96.598.426.99
01554_10_00970
G
2 All 11/18
5.2 EXIGENCES / REQUIREMENTS
5.2.1 EXIGENCES POUR L’UCE EMETTRICE / REQUIREMENTS FOR THE SENDER UCE
Remarques :
Notes:
Le checksum émis est codé sur 4 bits.
The sent checksum is coded on 4 bits.
La constante d’initialisation CHKINI est spécifiée par PSA dans un document annexe (cf.
§7.1).
The initialization constant CHKINI is specified by PSA in an appendix (see §7.1).
La liste des données critiques pour l’UCE émettrice est spécifiée par PSA dans un
document annexe (cf. §7.1).
The list of the critical data for the sender UCE is specified by PSA in an appendix (see
§7.1).
Définition :
Definition:
Une donnée critique est altérée si son contenu a évolué, de manière non contrôlée, entre
sa production et l’émission de la trame.
A critical data is corrupted if its content changes, without any control, between its
generation and the frame sending.
EXI-SECU-
CHK-12-D
Dès la première émission de la trame, en l’absence d’altération d’une des données de la
trame, le checksum émis doit respecter la propriété suivante :
modulo 16 (somme des quartets du champ data de la trame, checksum compris + constante
d’initialisation) = Fh
Avec les notations définies dans §3, la propriété peut s’énoncer avec la formule suivante :
Since the first sending of the frame, if no data of the frame is corrupted, the sent checksum
must have the following property:
modulo 16 (sum of the nibbles of the data field of the frame, including checksum +
initialization constant) = Fh
With the notations defined in §3, the property can be enounced using the following formula:
Fh
CHK
Qi INI
L
i
=
+






∑
= 16
2
1
EXI-SECU- Dès la première émission de la trame, en cas d’altération d’une des données critiques de la
trame, le checksum émis doit respecter la propriété suivante :

96.598.426.99
01554_10_00970
G
2 All 12/18
CHK -13-D modulo 16 (somme des quartets du champ data de la trame, checksum compris + constante
d’initialisation) ≠ Fh
Since the first sending of the frame, in case of at least one corrupted data in the frame, the
sent checksum must have the following property:
modulo 16 (sum of the nibbles of the data field of the frame, including checksum +
initialization constant) ≠ Fh
Fh
CHK
Qi INI
L
i
≠
+






∑
= 16
2
1

96.598.426.99
01554_10_00970
G
2 All 13/18
5.2.2 EXIGENCES POUR L’UCE RECEPTRICE / REQUIREMENTS FOR THE RECEIVER UCE
Remarques :
Notes:
Le checksum émis est codé sur 4 bits.
The sent checksum is coded on 4 bits.
La constante d’initialisation CHKINI est spécifiée par PSA dans un document annexe (cf.
§7.1).
The initialization constant CHKINI is specified by PSA in an appendix (see §7.1).
La liste des données critiques pour l’UCE émettrice est spécifiée par PSA dans un
The list of the critical data for the sender UCE is specified by PSA in an appendix (see
§7.1).
Les conditions d’entrée et de sortie dans un mode dégradé, spécifique à la corruption
d’une donnée critique, sont définies dans le document spécifiant le comportement des
fonctions consommatrices de cette donnée.
The fail soft entry and exit conditions specific to the corruption of a critical data are defined
in the document that specifies the behavior of the user functions of this data.
Définition :
Definition:
Une donnée critique est altérée si son contenu a évolué, de manière non contrôlée, entre
la réception de la trame et sa consommation.
A critical data is corrupted if its content evolutes involuntarily, between its generation and
the frame sending.
EXI-SECU-
CHK -21-D
L’ensemble des données critiques d’une trame sont déclarées corrompues si le checksum
reçu vérifie la propriété suivante : modulo 16 (somme des quartets du champ data de la
trame, checksum compris + constante d’initialisation) ≠ Fh.
All the critical data in a frame are declared corrupted if the received checksum has the
following property: modulo 16 (sum of the nibbles of the data field of the frame, including
checksum + initialization constant) ≠ Fh.

96.598.426.99
01554_10_00970
G
2 All 14/18
Fh
CHK
Qi INI
L
i
≠
+






∑
= 16
2
1
EXI-SECU-
CHK -22-D
La solution mise en place doit être robuste à un allongement de la trame.
The implemented solution must be compliant with a frame extension.
EXI-SECU-
CHK -23-D
Une donnée critique est déclarée corrompue si une altération de cette donnée a été
détectée.
A critical data is considered as corrupted if a corruption of this data has been detected.
EXI-SECU-
CHK-24-F
Le temps de confirmation du défaut checksum est calibrable.
The confirmation time of the checksum fault is tunable.
5.2.3 EXIGENCES COMMUNES / COMMON REQUIREMENTS
Sans objet
Not applicable

96.598.426.99
01554_10_00970
G
2 All 15/18
6 LE COMPTEUR DE PROCESSUS / THE PROCESS COUNTER
6.1 PRINCIPE / PRINCIPLE
Chaque trame contenant des données critiques (sécuritaires) doit contenir un compteur de processus
sur un quartet.
Each frame containing critical (security) data must contain a process counter on one nibble.
Le mécanisme, lié à ce compteur de processus, permet à une UCE, réceptrice d’une trame sécurisée et
consommatrice de données critiques, de détecter le non rafraîchissement de ces données, émises par une
autre UCE.
The mechanism related to this process counter allows a UCE that receives a secured frame and uses
critical data, to detect the lack of refreshing of these data sent by another UCE.
Rq : Le fait que les données aient été rafraîchies n’implique pas nécessairement que leurs valeurs aient
changé.
Rk: The data refreshing does not necessarily mean that the values have changed.
Cf. synoptique §5.1
See synoptic §5.1
6.2 EXIGENCES / REQUIREMENTS
6.2.1 EXIGENCES POUR L’UCE EMETTRICE / REQUIREMENTS FOR THE SENDER UCE
Remarques :
Notes:
Le compteur de processus est codé sur 4 bits.
The process counter is coded on 4 bits.
Le compteur de processus est initialisé à une valeur quelconque.
The process counter is initialized at a random value.
La liste des données critiques pour l’UCE émettrice est spécifiée par PSA dans un document
annexe (cf. §7.1).
The list of the critical data for the sender UCE is specified by PSA in an appendix (see §7.1).
Définition :
Definition:
Une donnée est nominalement rafraîchie si la tâche productrice de cette donnée s’est
exécutée avec un nombre d’occurrences considéré tolérable compte tenu du rapport de
périodicité entre la trame et la tâche productrice.
En outre, si la tâche productrice de la donnée n’est pas exécutée dans certaines phases de
vie (Ex : Etat RCD), cette situation de vie correspond bien à un comportement nominal, et la
donnée dans ce cas doit être tout de même considérée comme nominalement rafraîchie. Par

96.598.426.99
01554_10_00970
G
2 All 16/18
exemple, si des tâches sont non exécutées (nominalement) à la fin du réveil principal, le
compteur de process doit tout de même être incrémenté pendant cette phase de vie
A data is nominally refreshed if the generating task of this data has been run with a number
of occurrences considered as acceptable, taking into account the periodicity ratio between
the frame and the generating task.
Furthermore, if the generating task isn’t executed during some specific life situations (ex :
remote wake-up state), it consists anyway in a nominal behavior, and the data must be
considered as nominally refreshed. For example, if some tasks aren’t nominally executed at
the end of the main wake-up, the process counter had to be incremented during this life
situation.
Les cas ci-dessous sont donnés à titre d’illustration :
The cases below are provided as examples:
Cas d’une trame « plus lente » que la tâche :
• périodicité trame 20ms, périodicité tâche 8ms
• rapport 2.5
• nombre d’occurrences tolérable : n = 2
Case of a frame slower than the task:
• frame periodicity 20 ms, task periodicity 8 ms
• ratio 2.5
• acceptable number of occurrences: n = 2
Cas d’une trame « plus rapide » que la tâche :
• périodicité trame 10ms, périodicité tâche 25ms
• rapport : 1/2.5
• nombre d’occurrences tolérable : n = 1/3
Case of a frame faster than the task:
• frame periodicity 10 ms, task periodicity 25 ms
• ratio: 1/2.5
• acceptable number of occurrences: n = 1/3
EXI-SECU-
CP-11-F
Le compteur de processus doit s’incrémenter de 1 à chaque émission de la trame si toutes
les données critiques ont été nominalement rafraîchies.
(Voir définition de nominalement rafraichie)
The process counter had to be incremented of 1 each time the frame is sent, if all the critical
data have been nominally refreshed.
See nominally refreshed data definition
EXI-SECU-
CP-12-F
Le compteur de processus ne doit pas changer de valeur si l’une des données critiques n’a
pas été nominalement rafraîchie.
(Voir définition de nominalement rafraichie)
The process counter must keep its value if one of the critical data has not been nominally
refreshed.
See nominally refreshed data definition
EXI-SECU-
CP-13-D
Le compteur de processus, arrivé à la valeur 15, doit prendre la valeur 0, au prochain
incrément.
When the process counter reaches 15, it must return to 0 upon the next increase.

96.598.426.99
01554_10_00970
G
2 All 17/18
6.2.2 EXIGENCES POUR L’UCE RECEPTRICE / REQUIREMENTS FOR THE RECEIVER UCE
Remarques :
Notes:
La liste des données critiques pour l’UCE réceptrice est spécifiée par PSA dans un
The list of the critical data for the receiver UCE is specified by PSA in an appendix (see
§7.1).
Les conditions d’entrée et de sortie dans un mode dégradé, spécifique au non
rafraîchissement d’une donnée critique, sont définies dans le document spécifiant le
comportement des fonctions consommatrices de cette donnée.
The fail soft entry and exit conditions, specific to the lack of critical data refreshing are
defined in the document that specifies the behavior of the functions using this data.
EXI-SECU-
CP-21-D
Toutes les données sécuritaires reçues sont déclarées non rafraîchies si la valeur reçue du
compteur de processus n’est pas modifiée entre deux trames reçues consécutivement.
All the received security data are declared “non refreshed” if the process counter received
value has not been modified between two frames consecutively received.
EXI-SECU-
CP-22-F
Le temps confirmation du défaut compteur de process est calibrable.
The confirmation time of the process counter is tunable.
6.2.3 EXIGENCES COMMUNES / COMMON REQUIREMENTS
Sans objet
Not applicable

96.598.426.99
01554_10_00970
G
2 All 18/18
7 ANNEXE / APPENDIX
7.1 EXIGENCES DOCUMENTAIRES / DOCUMENT REQUIREMENTS
EXI-
SECU-
DOC-1-D
Le fournisseur d’une UCE réceptrice et / ou émettrice doit livrer un dossier de justification
détaillant les solutions mises en place pour répondre aux exigences PSA contenues dans la
présente spécification.
The supplier of a receiver and / or sender UCE must deliver a justification file with the details of
the solutions implemented to meet the requirements of PSA contained in this specification.
EXI-
SECU-
DOC-2-D
Il est de responsabilité fournisseur de demander à PSA les documents annexes à la présente
spécification.
The supplier is responsible for requesting from PSA the appendixes of this specification.
8 FIN DU DOCUMENT / END

01554_10_00970_2.0_STE_SECURISATION_TRAMES_9659842699_G.pdf

Recommandé

Recommandé

Contenu connexe

Similaire à 01554_10_00970_2.0_STE_SECURISATION_TRAMES_9659842699_G.pdf

Similaire à 01554_10_00970_2.0_STE_SECURISATION_TRAMES_9659842699_G.pdf (20)

Plus de azrfdstgdgdfh

Plus de azrfdstgdgdfh (20)

01554_10_00970_2.0_STE_SECURISATION_TRAMES_9659842699_G.pdf