{"id":7123,"date":"2026-08-25T06:00:00","date_gmt":"2026-08-25T05:00:00","guid":{"rendered":"https:\/\/www.blaess.fr\/christophe\/?p=7123"},"modified":"2026-08-25T06:04:40","modified_gmt":"2026-08-25T05:04:40","slug":"eris-linux","status":"publish","type":"post","link":"https:\/\/www.blaess.fr\/christophe\/2026\/08\/25\/eris-linux\/","title":{"rendered":"Eris Linux, une distribution industrielle pour l’embarqu\u00e9"},"content":{"rendered":"
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

Eris Linux <\/strong>est une distribution Linux industrielle pr\u00e9vue sp\u00e9cifiquement pour les syst\u00e8mes embarqu\u00e9s<\/strong>. Elle est simple<\/strong> \u00e0 utiliser et \u00e0 mettre en \u0153uvre sur un parc de machines, et simplifie la conformit\u00e9 aux exigences du Cyber Resilience Act<\/em><\/strong>.<\/p>\n\n\n\n

Je souhaite dans cet article vous pr\u00e9senter les principes d\u00e9taill\u00e9s d’Eris Linux<\/strong>. Dans les prochains articles, nous verrons comment l’installer sur une carte embarqu\u00e9e du commerce (Raspberry Pi 5), comment y installer des applications de d\u00e9monstration, comment d\u00e9velopper et d\u00e9ployer son propre code \u00ab\u00a0m\u00e9tier\u00a0\u00bb applicatif et comment le d\u00e9boguer.<\/p>\n\n\n\n\n\n\n\n

Soyons transparents : je suis l\u2019initiateur et l\u2019un des principaux d\u00e9veloppeurs d\u2019Eris Linux. Il s\u2019agit d\u2019un projet professionnel, qui peut \u00eatre utilis\u00e9 totalement gratuitement<\/strong> sur des petites s\u00e9ries de cartes embarqu\u00e9es disponibles \u00ab sur \u00e9tag\u00e8re \u00bb comme les Raspberry Pi par exemple. Le portage sur une carte personnalis\u00e9e ou le d\u00e9ploiement de code sur de grosses s\u00e9ries de cartes sont en revanche propos\u00e9s via un support commercial.<\/p>\n\n\n

\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

Je souhaite tout d’abord rendre hommage \u00e0 mon ami Pierre Ficheux<\/strong>, qui nous a quitt\u00e9s il y a quelques mois et qui \u00e9tait partie prenante dans Eris. La plupart des lecteurs de ce blog ont tr\u00e8s probablement d\u00e9j\u00e0 lu ses articles ou ses livres, d\u00e9j\u00e0 suivi ses cours, entendu ses nombreuses conf\u00e9rences ou l’ont peut-\u00eatre crois\u00e9 lors de ses interventions en entreprise. Interlocuteur chaleureux, libriste passionn\u00e9 et rigoureux, c’\u00e9tait l’un des plus grands experts de Linux embarqu\u00e9. Il suivait avec attention le d\u00e9veloppement d’Eris Linux et s’appr\u00eatait \u00e0 participer \u00e0 la constitution d’une soci\u00e9t\u00e9 d\u00e9di\u00e9e \u00e0 ce projet. Il aurait d\u00fb \u00eatre le premier relecteur de ces articles consacr\u00e9 \u00e0 Eris, je les \u00e9cris en pensant \u00e0 lui.<\/p>\n\n\n\n

C\u2019est au cours d\u2019un d\u00e9jeuner, au printemps 2024, que nous avons pos\u00e9 ensemble le constat \u00e0 l\u2019origine du projet : pour une entreprise non sp\u00e9cialis\u00e9e, d\u00e9velopper<\/strong> puis maintenir<\/strong> un syst\u00e8me Linux embarqu\u00e9 conforme aux standards actuels de qualit\u00e9 et de s\u00e9curit\u00e9 est devenu extr\u00eamement complexe<\/strong>.<\/p>\n\n\n\n

Complexit\u00e9 de l’embarqu\u00e9<\/h2>\n\n\n\n

L’embarqu\u00e9 est un domaine particulier o\u00f9 les \u00e9quipements sont g\u00e9n\u00e9ralement de puissance r\u00e9duite<\/strong> (CPU, RAM, Flash) ce qui n\u00e9cessite une optimisation<\/strong> de la gestion des ressources. Leur fonctionnement peut se faire dans un environnement difficile<\/strong>, tant au niveau mat\u00e9riel qu’au niveau des interactions avec des utilisateurs peu pr\u00e9cautionneux voire franchement hostiles. L’alimentation \u00e9lectrique des \u00e9quipements est souvent non ma\u00eetris\u00e9e et sujette \u00e0 des coupures abruptes dont le syst\u00e8me doit s’accommoder tout en garantissant un red\u00e9marrage correct \u00e0 tout moment. Enfin, les syst\u00e8mes \u00e9tant souvent largement d\u00e9ploy\u00e9s hors de tout contr\u00f4le, ils sont facilement attaquables pour une exploitation malintentionn\u00e9e, ou simplement pour satisfaire la curiosit\u00e9 de concurrents peu scrupuleux.<\/p>\n\n\n\n

Pour ces raisons, on n’utilise g\u00e9n\u00e9ralement pas de distribution classique (du type Debian, RedHat, Ubuntu, CentOS, etc.) mais on construit un syst\u00e8me sur mesure<\/strong>, n’embarquant que le strict n\u00e9cessaire, et configur\u00e9 pour offrir la meilleure r\u00e9silience possible. En termes de s\u00e9curit\u00e9, le chiffrement des donn\u00e9es sensibles<\/strong> est le comportement \u00e0 adopter par d\u00e9faut. La configuration fine<\/strong> du syst\u00e8me est indispensable pour assurer la r\u00e9silience aux conditions de fonctionnement difficiles et limiter au mieux le p\u00e9rim\u00e8tre d’attaque<\/strong>.<\/p>\n\n\n\n

Pour construire les syst\u00e8mes embarqu\u00e9s, deux solutions principales cohabitent : Buildroot<\/strong> et Yocto Projec<\/strong>t. Buildroot est particuli\u00e8rement adapt\u00e9 aux projets relativement simples ou n\u00e9cessitant une prise en main rapide. Yocto Project est souvent retenu pour les produits industriels comportant plusieurs variantes mat\u00e9rielles ou logicielles et devant \u00eatre maintenus sur une longue dur\u00e9e.<\/p>\n\n\n\n

Pour une entreprise dont l’informatique n’est pas le c\u0153ur de m\u00e9tier, encore moins Linux, surtout pour ses aspects embarqu\u00e9s, la cr\u00e9ation d’un syst\u00e8me avec Yocto et sa maintenance sur le long terme sont une v\u00e9ritable \u00e9preuve, n\u00e9cessitant un investissement lourd<\/strong> en formation de personnel ou en sous-traitance de son projet. J’anime des sessions de formation sur Yocto Project depuis une dizaine d’ann\u00e9es et je peux t\u00e9moigner de l’int\u00e9r\u00eat mais \u00e9galement de la difficult\u00e9<\/strong> pour les d\u00e9veloppeurs \u00e0 assimiler et int\u00e9grer les subtilit\u00e9s de cet environnement.<\/p>\n\n\n\n

Outre la complexit\u00e9<\/strong> inh\u00e9rente aux composants de l’environnement Yocto Project (syntaxe des recettes de BitBake, compatibilit\u00e9 et d\u00e9pendances des layers<\/em>, ressources n\u00e9cessaires et temps de compilation…) s’ajoutent les modifications r\u00e9guli\u00e8res<\/strong> dues \u00e0 l’aspect vivant et \u00e9volutif de Yocto (un exemple r\u00e9cent est l\u2019abandon de la maintenance de la branche principale du d\u00e9p\u00f4t Poky).<\/p>\n\n\n\n

L’emploi de Yocto Project n\u00e9cessite une veille technologique<\/strong> et une adaptation<\/strong> qu’il ne faut pas n\u00e9gliger d’autant que la maintenance d’un projet embarqu\u00e9 sur le long terme (trop souvent oubli\u00e9e jusqu’ici) devient indispensable pour r\u00e9pondre aux exigences du Cyber Resilience Act<\/strong><\/em>.<\/p>\n\n\n\n

Cyber Resilience Act<\/h2>\n\n\n\n

Le CRA, ou Cyber Resilience Act<\/strong><\/em>, est un r\u00e8glement europ\u00e9en \u00e9tablissant des exigences de cybers\u00e9curit\u00e9 pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques commercialis\u00e9s dans l\u2019Union europ\u00e9enne. Il impose notamment aux fabricants de prendre en compte la s\u00e9curit\u00e9 d\u00e8s la conception du produit et de pr\u00e9venir les autorit\u00e9s<\/strong> via la plateforme europ\u00e9enne de signalement en cas de d\u00e9couverte d’une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e dans un produit commercialis\u00e9 (une alerte initiale g\u00e9n\u00e9rale au plus tard 24h apr\u00e8s la d\u00e9couverte et une notification compl\u00e8te dans les 72h). Les utilisateurs affect\u00e9s doivent \u00e9galement \u00eatre inform\u00e9s de la vuln\u00e9rabilit\u00e9 ainsi que des mesures correctives ou de r\u00e9duction des risques qu\u2019ils peuvent appliquer.<\/p>\n\n\n\n

Il oblige \u00e9galement \u00e0 corriger les vuln\u00e9rabilit\u00e9s<\/strong> d\u00e9couvertes sans retard et \u00e0 fournir gratuitement des mises \u00e0 jour de s\u00e9curit\u00e9<\/strong> pendant toute la p\u00e9riode de support raisonnablement attendue pour le produit (typiquement 5 ans). Le respect de ces exigences devient une condition n\u00e9cessaire \u00e0 l\u2019apposition du marquage \u00ab CE<\/strong> \u00bb sur les produits concern\u00e9s.<\/p>\n\n\n\n

Les principales dispositions du CRA s’appliqueront int\u00e9gralement \u00e0 partir du 11 d\u00e9cembre 2027<\/strong>, m\u00eame si l’obligation de signalement des vuln\u00e9rabilit\u00e9s rentre en vigueur d\u00e8s le 11 septembre 2026.<\/p>\n\n\n\n

Pour un syst\u00e8me embarqu\u00e9 industriel, cela n\u00e9cessite donc de disposer d’un m\u00e9canisme de mise \u00e0 jour du logiciel<\/strong> (\u00e0 distance ou non selon les conditions de fonctionnement de l’\u00e9quipement), et d’assurer une veille r\u00e9guli\u00e8re des vuln\u00e9rabilit\u00e9s d\u00e9couvertes sur les composants logiciels embarqu\u00e9s ainsi que des patches<\/em> correctifs disponibles.<\/p>\n\n\n\n

Les entreprises disposant en interne de comp\u00e9tences sp\u00e9cialis\u00e9es, par exemple d\u2019un expert Yocto ou Linux embarqu\u00e9, pourront probablement consacrer les ressources n\u00e9cessaires au suivi des vuln\u00e9rabilit\u00e9s ainsi qu\u2019\u00e0 la production et au d\u00e9ploiement des correctifs. En revanche pour les PME<\/strong>, qui constituent l’essentiel de mes clients en prestations d’ing\u00e9nierie, la mise en conformit\u00e9 risque d’\u00eatre tr\u00e8s difficile : manque de personnel qualifi\u00e9, de temps disponible pour le suivi et absence fr\u00e9quente de m\u00e9canismes permettant de mettre \u00e0 jour de mani\u00e8re fiable le syst\u00e8me et les applications d\u00e9j\u00e0 d\u00e9ploy\u00e9s.<\/p>\n\n\n\n

C’est pour ces raisons, la complexit\u00e9 de l’environnement embarqu\u00e9 et les obligations croissantes li\u00e9es au CRA, qu’a \u00e9t\u00e9 prise la d\u00e9cision de cr\u00e9er une distribution Linux sp\u00e9cifique pour l’embarqu\u00e9 industriel<\/strong>, facile \u00e0 utiliser, robuste et r\u00e9siliente.<\/p>\n\n\n\n

Principe d’Eris Linux<\/h2>\n\n\n\n

Le principe g\u00e9n\u00e9ral d’Eris Linux repose sur une base de logiciels syst\u00e8me<\/strong> livr\u00e9s pr\u00e9-compil\u00e9s et maintenus sur une base r\u00e9guli\u00e8re, et sur laquelle le code applicatif<\/strong> (le code \u00ab\u00a0m\u00e9tier\u00a0\u00bb) s’ex\u00e9cute dans des containers<\/strong> s\u00e9curis\u00e9s et isol\u00e9s de la base syst\u00e8me.<\/p>\n\n\n\n

J’aime comparer Eris \u00e0 un porte-container<\/strong> : la base syst\u00e8me sous le pont principal est minimale et extr\u00eamement robuste, on y trouve un bootloader<\/em>, le noyau Linux avec la description du mat\u00e9riel, quelques utilitaires et des biblioth\u00e8ques syst\u00e8me. Au-dessus du pont principal on trouve les containers et le syst\u00e8me de mise \u00e0 jour et de communication avec le Device Manager<\/em> qui permet la supervision et l’administration distante du parc de mat\u00e9riel.<\/p>\n\n\n

\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

L’utilisateur d’Eris Linux n’a jamais besoin de construire l’image syst\u00e8me<\/strong>, et n’a jamais besoin de se soucier d’autre chose que du contenu de son code m\u00e9tier qu’il d\u00e9veloppe et d\u00e9ploie dans un container. Une API<\/strong> (Application Programming Interface<\/em>) lui permet d’acc\u00e9der depuis un container aux ressources de la carte \u00e9lectronique sous-jacente (capteurs, composants sp\u00e9cifiques, etc.)<\/p>\n\n\n\n

L’image syst\u00e8me est produite et maintenue par nos soins<\/strong> en respectant les exigences de cybers\u00e9curit\u00e9 et de gestion des vuln\u00e9rabilit\u00e9s du CRA. Eris Linux r\u00e9duit ainsi fortement le p\u00e9rim\u00e8tre logiciel que l\u2019utilisateur doit maintenir directement : celui-ci reste principalement responsable de son code applicatif, des composants int\u00e9gr\u00e9s dans ses conteneurs et de la s\u00e9curit\u00e9 du produit final.<\/p>\n\n\n\n

Cette image syst\u00e8me et ses mises \u00e0 jour r\u00e9guli\u00e8res sont disponibles gratuitement<\/strong> pour les cartes \u00e9lectroniques \u00ab\u00a0sur \u00e9tag\u00e8re\u00a0\u00bb les plus courantes. Par exemple dans le prochain article, nous verrons comment installer Eris sur un Raspberry Pi 5<\/strong>. Le portage<\/strong> d’Eris Linux sur une carte sp\u00e9cifique<\/strong>, et sa maintenance r\u00e9guli\u00e8re sont disponibles sur la base d’un support commercial.<\/p>\n\n\n\n

Eris Linux repose essentiellement sur des composants Open Source<\/em><\/strong>. L’utilisateur ne souhaitant plus faire appel \u00e0 nos services peut \u00e0 tout moment prendre en charge seul la mise \u00e0 jour de son image, sans b\u00e9n\u00e9ficier toutefois des avantages de notre Device Manager<\/em>.<\/p>\n\n\n\n

Code applicatif<\/h2>\n\n\n\n

Pour le d\u00e9veloppement du code m\u00e9tier, l’utilisateur s’appuie sur le m\u00e9canisme de containers offert par le syst\u00e8me Docker<\/strong><\/em>.<\/p>\n\n\n\n

Contrairement au d\u00e9veloppement pour des syst\u00e8mes embarqu\u00e9s classiques, il n’est pas n\u00e9cessaire<\/strong> d’installer de SDK<\/strong> (Software Development Kit<\/em>) ni m\u00eame une cha\u00eene de cross-compilation<\/strong><\/em> pour produire du code pour Eris Linux. Le m\u00e9canisme BuildX<\/em> de Docker<\/strong> prend en charge la compilation du code m\u00e9tier et la production d’un container directement compatible avec la carte cible.<\/p>\n\n\n\n

Le container ainsi produit est ensuite envoy\u00e9 sur notre serveur apr\u00e8s chiffrement<\/strong> (nous n’avons jamais acc\u00e8s au code embarqu\u00e9 dans les containers de nos clients). L’utilisateur peut ensuite d\u00e9cider de d\u00e9ployer<\/strong> ce container sur toutes ses cartes embarqu\u00e9es ou sur une partie d’entre elles (en g\u00e9rant des groupes d’\u00e9quipements<\/strong>). Les containers chiffr\u00e9s ne seront d\u00e9chiffr\u00e9s qu’une fois arriv\u00e9s sur les cartes embarqu\u00e9es. Le m\u00e9canisme de mise \u00e0 jour et de d\u00e9ploiement des containers sera pr\u00e9sent\u00e9 dans un prochain article de cette s\u00e9rie consacr\u00e9e \u00e0 Eris Linux.<\/p>\n\n\n\n

Le Device Manager<\/strong> d’Eris est la plateforme utilis\u00e9e pour recevoir des informations en provenance des \u00e9quipements d\u00e9ploy\u00e9s (status, temps de fonctionnement, charge du syst\u00e8me, \u00e9tat des containers, etc.) et pour d\u00e9ployer les containers. Ce Device Manager est typiquement accessible par Internet<\/strong>, mais pour les syst\u00e8mes n’ayant pas de contact avec Internet, il est possible d’installer un Device Manager d\u00e9di\u00e9 sur un r\u00e9seau ferm\u00e9<\/strong>, voire de faire les d\u00e9ploiements et mises \u00e0 jour manuellement<\/strong> (via une cl\u00e9 USB par exemple).<\/p>\n\n\n\n

Conclusion<\/h2>\n\n\n\n

Pour une PME souhaitant concevoir, d\u00e9ployer et maintenir un syst\u00e8me Linux embarqu\u00e9 en r\u00e9pondant aux exigences du CRA, Eris Linux offre de multiples avantages :<\/p>\n\n\n\n