AURIX : la génération sécurisée du microcontrôleur (TC2xx, TC3xx)
AURIX est la génération d'Infineon qui succède au TriCore « AUDO » sur les plateformes récentes, MG1 et MD1 en tête. Elle prolonge le TriCore d'Infineon, mais le vrai sujet n'est pas la puissance : c'est la sécurité intégrée au silicium.
Le silicium
AURIX est multicœur et se décline en TC2xx puis TC3xx :
| Famille | Cœurs | Flash | Particularités |
|---|---|---|---|
| TC27x | 3 cœurs TriCore, 200–300 MHz | jusqu'à 4 Mo, ECC | 472 Ko RAM, ASIL-D |
| TC29x | 3 cœurs, 300 MHz | jusqu'à 8 Mo, ECC | 128 Ko data flash, 384 Ko d'EEPROM émulée (endurance 125 000 cycles), 728 Ko RAM |
| TC3xx | jusqu'à hexa-cœur | jusqu'à 12 Mo | 2ᵉ génération (2016), ASIL-D |
Les boîtiers vont du LFBGA-292 (TC297T) au LFBGA-516 (TC299T), pour une plage de température de −40 à +125 °C. En clair, on passe d'« un cœur à 150 MHz et 2 Mo » (EDC17) à « trois cœurs à 300 MHz et 8 Mo » (MG1/MD1), puis jusqu'à six cœurs et 12 Mo en TC3xx : un changement d'échelle, mais aussi de nature.
Le HSM, cœur du sujet
Ce qui distingue AURIX, c'est le HSM (Hardware Security Module) : un processeur de sécurité dédié, avec sa propre flash, sa propre RAM et ses accélérateurs cryptographiques. Il assure le démarrage sécurisé, le stockage des clés et l'authentification, indépendamment des cœurs principaux. Même si le firmware applicatif est entièrement analysé, les clés protégées par le HSM restent hors de portée des méthodes d'analyse ordinaires. Son fonctionnement est décrit dans le HSM : le coffre-fort dans le microcontrôleur.
Ce que ça change pour l'accès
Le glissement est conceptuel. Un contrôle par somme (CRC) répond à la question « la donnée a-t-elle changé ? ». Une signature RSA répond à « cette donnée vient-elle bien de celui qui détient la clé privée ? ». On passe de la vérification à l'authentification — voir Signature RSA, secure boot et calculateurs verrouillés. Trois conséquences :
- La clé n'est plus dans le logiciel, mais dans le silicium (le HSM), ce qui la met à l'abri d'une simple lecture de la flash.
- La confiance est vérifiée avant l'exécution : un bootloader de production contrôle l'authenticité de l'image, contre des clés ancrées dans le module de sécurité, avant de lancer l'applicatif. C'est la logique du démarrage sécurisé.
- L'authentification d'accès évolue : le dialogue seed/key du service UDS 0x27 s'exécute dans le HSM, et la norme ISO 14229-1:2020 ajoute un service d'authentification par certificats (0x29) à côté du classique seed & key.
Le même socle matériel autorise l'authentification des trames échangées sur le bus, décrite dans SecOC : la sécurité ne s'arrête plus aux frontières du calculateur, elle s'étend au réseau.
Où on le trouve
AURIX équipe les plateformes MG1/MD1 (TC27x/TC29x), le Delphi DCM7.1 (TC297), les Siemens SID212/SID321 (TC297), et les variantes TC3xx les plus récentes comme le MD1CS104 (TC389). Le contexte plateforme est traité dans la plateforme MDG1.
C'est ce socle qui explique le durcissement daté de l'été 2020 sur une partie des MD1, MG1, EDC17 et MEVD17 : non pas un tour de passe-passe logiciel, mais une sécurité ancrée dans le matériel, cohérente avec la montée des exigences de cybersécurité véhicule. Cette fiche reste descriptive et n'expose aucune méthode de contournement.
Une sécurité en couches
Les calculateurs AURIX illustrent une sécurité pensée par niveaux de privilège. Le port OBD est le moins privilégié : on n'y reprogramme une calibration que si la version logicielle, la protection et la somme de contrôle l'autorisent toutes. En dessous, l'accès physique au processeur relève d'autres mécanismes, eux-mêmes bornés par le HSM. Cette hiérarchie explique qu'un même calculateur soit largement ouvert en lecture d'identité et très fermé en écriture profonde. Sur le terrain, cette réalité se lit dès l'identification : les identifiants UDS de fournisseur et de date de fabrication suffisent à situer un calculateur AURIX par rapport aux protections en vigueur, avant même toute tentative d'accès.
Ce que l'atelier doit en retenir
Il serait faux de résumer AURIX à « des calculateurs plus difficiles ». Le durcissement observé à partir de 2020 découle d'exigences réglementaires de cybersécurité véhicule et de protection de la garantie, appliquées à un socle matériel qui les rendait enfin possibles : le HSM et le démarrage sécurisé existaient d'abord pour la sûreté et la sécurité, et l'effet sur la reprogrammation en est la conséquence. Pour le reprogrammateur, la bascule tient en trois constats : la référence ne suffit plus, il faut la date de fabrication et la version matérielle ; le mode d'accès dépend de l'état des protections, non du nom de famille ; et la restauration repose plus que jamais sur une sauvegarde complète préalable, sans laquelle un calculateur récent peut devenir irrécupérable. Ces principes rejoignent ceux des protections du microcontrôleur.
Voir aussi le HSM, le TriCore d'Infineon et la plateforme MDG1.
Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.
