Pourquoi la Detection de Sabotage Importe pour les Etiquettes d’Actifs
Les etiquettes d’actifs BLE sont de plus en plus deployees sur des equipements de haute valeur, des emballages de chaine du froid pharmaceutique et des actifs loues, ou un retrait non autorise declenche des risques financiers ou de conformite. Une etiquette qui peut etre retiree ou desactivee en silence annihile tout l’objectif du suivi. La conception anti-sabotage ajoute une couche de securite physique : une fois que l’etiquette est retiree ou que le boitier est ouvert, l’evenement est enregistre et immediatement signale.
Cet article decompose les implementations pratiques de detection de sabotage pour les etiquettes BLE, comparant quatre mecanismes courants, analysant leurs budgets energetiques et fournissant des modeles de gestion d’interruptions firmware qui fonctionnent reellement en production.
Mecanismes de Detection de Sabotage Compares
| Mecanisme | Condition de Declenchement | Taux de Faux Positifs | Puissance (repos) | Cout | Meilleur Pour |
|---|---|---|---|---|---|
| Interrupteur mecanique (micro-interrupteur) | Liberation de la pression physique | Faible (~2%) | 0,5 uA (pull-up) | Faible ($0,10) | Etiquettes montees en surface |
| Piste conductrice (PCB/FPC) | Piste rompue lors de l’ouverture | Moyen (~5%) | 1,2 uA (pull-up) | Moyen ($0,30) | Boitiers scelles |
| Capteur optique (phototransistor) | Ouverture du boitier, lumiere entre | Eleve (~15%) | 5-20 uA | Faible ($0,08) | Interieur uniquement |
| Effet Hall (reed magnetique) | Aimant retire/separation | Faible (~1%) | 3-8 uA | Moyen ($0,50) | Etiquettes amovibles (montage magnetique) |
La selection se resume a trois questions : (1) L’etiquette est-elle fixee de maniere permanente ? (2) Le boitier necessite-t-il une etancheite IP65+ ? (3) Quel est le taux de fausse alarme acceptable ? Pour la plupart des deploiements industriels, l’approche par piste conductrice offre le meilleur equilibre entre cout, fiabilite et impact sur le facteur de forme.
Conception de PCB a Piste Conductrice
La methode de la piste conductrice achemine une fine piste de cuivre (largeur 0,15 mm, cuivre de 1 oz) autour du perimetre du PCB ou a travers une zone de montage d’un module Bluetooth. La piste est connectee a un GPIO configure en entree pull-up. Lorsque le boitier est ouvert, la piste se rompt, le GPIO passe a HIGH et une interruption se declenche.
Regles de Conception Critiques
- Largeur de piste vs fiabilite : 0,15 mm est assez etroit pour se rompre proprement mais assez large pour survivre au refusion. En dessous de 0,10 mm, le rendement de fabrication du PCB chute ; au-dessus de 0,20 mm, la piste peut s’etirer plutot que de se rompre.
- Vias comme concentrateurs de contrainte : Placez des vias aux coins de la piste. Le trou de pergage du via agit comme un concentrateur de contrainte, assurant que la piste se rompt a un endroit previsible lorsque le PCB est flechi lors de l’ouverture du boitier.
- Boucles redondantes : Acheminez deux pistes independantes (boucle A et boucle B) en parallele. Les deux doivent etre intactes pour que l’etiquette signale « scelle ». Cela elimine les faux positifs d’une seule piste dus a une legere flexion du PCB.
Resistance mesuree d’une piste de 0,15 mm intacte (longueur 50 mm) : ~0,8 ohm. Apres rupture : >10 Mohm (le pull-up tire vers VCC). Debounce dans le firmware : 50 ms de debounce materiel + 200 ms de confirmation logicielle avant le signalement.
Implementation d’Interrupteur Mecanique
Pour les etiquettes montees en surface (support adhesif), un micro-interrupteur normalement ferme (NF) est comprime par la surface de montage. Lorsque l’etiquette est retiree, l’interrupteur s’ouvre, generant un evenement de sabotage. Le boitier du Bluetooth Beacon doit etre concu de sorte que l’interrupteur soit toujours comprime lorsqu’il est correctement installe. Tout ecart >0,3 mm declenche.
Parametres de Selection de l’Interrupteur
| Parametre | Valeur Typique | Notes |
|---|---|---|
| Force d’actionnement | 0,5-1,5 N | Trop faible : faux declenchement par vibration |
| Course (precourse) | 0,15-0,3 mm | Doit etre inferieure a l’accumulation de tolerance du boitier |
| Duree de vie electrique | 100 000 cycles | Adequat pour un deploiement unique |
| Resistance de contact | <100 mohm | Critique pour la fiabilite du pull-up basse consommation |
Impact sur l’energie : Un pull-up de 100 kohm sur une alimentation de 3,0 V consomme 30 uA en continu, bien trop eleve pour une etiquette a pile bouton. La solution consiste a utiliser le pull-up interne du nRF52 (typiquement 13 kohm), qui consomme 230 uA mais ne peut etre active que pendant de breves fenetres d’echantillonnage (10 ms toutes les 1 s), ce qui donne une moyenne de 2,3 uA. Pour une detection always-on, utilisez un pull-up externe de 10 Mohm (0,3 uA) avec le GPIO configure en mode de detection au niveau de la plaquette (WLD) disponible sur certains SoC.
Gestion des Interruptions dans le Firmware
Le GPIO de detection de sabotage doit generer une interruption meme lorsque le SoC est en sommeil profond (em4/em4p sur EFR32, system-off sur nRF52). Cela necessite que le GPIO soit cable a une broche capable de reveiller. Tous les GPIO ne supportent pas cela. Sur le nRF52840, n’importe quel GPIO peut reveiller le systeme, mais seulement depuis system-ON (pas system-OFF avec retention RAM).
// nRF52 gestionnaire IRQ de sabotage (pattern production)
void tamper_irq_handler(void) {
nrf_gpio_int_disable(TAMPER_PIN);
if (nrf_gpio_pin_read(TAMPER_PIN) == TAMPER_ACTIVE_LEVEL) {
retention_ram->tamper_event_count++;
retention_ram->last_tamper_time = NRF_RTC0->COUNTER;
tamper_pending = 1;
ble_adv_start(ADV_MODE_TAMPER, 3000);
}
}Piege cle : Si l’etiquette est hors tension lorsque l’evenement de sabotage se produit (par exemple, pile bouton retiree), l’evenement est perdu. La solution est un supercondensateur (0,1 F, 2,7 V) qui alimente le SoC pendant ~200 ms apres le retrait de l’alimentation principale. Calcul : 0,1 F, decharge de 3,0 V a 1,8 V (tension minimale de fonctionnement du SoC), 25 mA de courant actif. t = C * dV / I = 0,1 * 1,2 / 0,025 = 4,8 s. Plus que suffisant.
Notification GATT BLE pour les Evenements de Sabotage
L’evenement de sabotage doit etre signale au systeme de surveillance. Trois approches, classees par latence :
- Connexion immediate + indication GATT : L’etiquette se reveille lors du sabotage, etablit une connexion, envoie une indication sur une caracteristique de sabotage personnalisee. Latence : 100-500 ms. Cout energetique : ~15 mAh par evenement.
- Methode du drapeau dans l’advertising : L’etiquette definit un bit dans les donnees specifiques au fabricant (MSD) de son paquet d’advertising. Les passerelles le voient dans l’intervalle d’advertising de l’etiquette (typiquement 500 ms). Latence : 500 ms-5 s. Cout energetique : ~50 uAh par evenement.
- Store-and-Forward : L’etiquette enregistre l’evenement dans la flash interne et signale lors de la prochaine verification programmee. Latence : minutes a heures. Cout energetique : negligeable (<1 uAh).
Pour les actifs de haute valeur, l’approche 1 ou 2 est recommandee. La methode MSD est particulierement elegante : definissez un seul octet dans la charge utile de l’advertising comme champ « drapeaux d’etat », avec le bit 0 = sabotage detecte, le bit 1 = batterie faible, le bit 2 = mouvement detecte. Les passerelles analysent cela en temps reel sans avoir besoin d’etablir une connexion.
Impact sur le Budget Energetique
| Composant | Courant Actif | Cycle de Travail | Courant Moyen |
|---|---|---|---|
| Pull-up GPIO (10 Mohm) | 0,3 uA | 100% | 0,3 uA |
| Capteur optique (TEMT6000) | 20 uA | 100% | 20 uA |
| Capteur Hall (DRV5032) | 3 uA | 100% | 3 uA |
| nRF52 wake + advertise (evenement sabotage) | 15 mA | 0,1% (1 evenement/jour) | 15 uA |
| Total (piste conductrice + 1 evenement/jour) | – | – | 15,3 uA |
Une pile bouton CR2477 (1000 mAh) alimente une etiquette de sabotage a piste conductrice pendant environ 1000 / (15,3 * 24 / 1000) = 2727 jours (~7,5 ans) en supposant un evenement de sabotage par jour. En pratique, l’auto-decharge de la batterie (~1 %/an pour LiMnO2) et les effets de temperature reduisent cela a ~5 ans, ce qui reste acceptable pour la plupart des deploiements de suivi d’actifs.
Lecons de Deploiements Reels
- Attaque par reinitialisation d’usine : Si l’etiquette peut etre reinitialisee d’usine sans preuve physique, la detection de sabotage est inutile. Solution : definir un bit a ecriture unique (OTP) dans l’UICR du SoC qui active definitivement la journalisation des sabotages. Une fois defini, l’etiquette ne peut etre reinitialisee sans detruire egalement le journal des sabotages.
- Dimensionnement du supercondensateur : Le supercondensateur de 0,1 F a une tolerance de -20 %/+80 %. Concevez toujours pour le cas -20 % (0,08 F), qui produit encore 3,8 s de temps de maintien.
- Materiel du boitier : Pour l’approche du capteur optique, le boitier doit transmettre la lumiere visible. Le polycarbonate transparent fonctionne ; les revetements teintes ou resistants aux UV bloquent le capteur. Pour les deploiements exterieurs, la methode du capteur optique n’est pas recommandee en raison des declenchements faux causes par les cycles thermiques diurnes.
- Impact sur la certification : L’ajout d’un supercondensateur ou la modification du plan de masse de l’antenne pour la piste conductrice peut affecter la certification FCC/CE. La piste conductrice doit etre definie comme faisant partie de la zone d’exclusion de l’antenne dans le dossier de certification pour eviter une re-certification.
Conclusion
La conception anti-sabotage pour les etiquettes d’actifs BLE est un probleme de niveau systeme couvrant les domaines mecanique, electrique et firmware. L’approche de la piste conductrice sur PCB offre le meilleur rapport cout-performance pour la plupart des deploiements, ajoutant moins de 0,30 $ au cout de la BOM et moins de 1 uA au courant moyen consomme. Pour les etiquettes amovibles, l’approche magnetique a effet Hall fournit une detection de sabotage propre sans usure mecanique. Dans tous les cas, le firmware doit correctement gerer l’interruption de reveil apres sommeil et enregistrer l’evenement dans la memoire de retention avant que le SoC ne s’eteigne. Un supercondensateur sur VDD est une assurance peu couteuse contre la perte d’evenements lors d’une panne de courant.
Lors de la specification d’etiquettes BLE pour des actifs de haute valeur, exigez explicitement la detection de sabotage dans les specifications d’approvisionnement. Le cout incrementiel est negligeable ; la valeur d’attenuation des risques est substantielle.