Brevet FR2589602A1 — publié le 19870507

i La présente invention concerne un dispositif de sécurité destiné à protéger des données confidentielles enregistrées. La demande de brevet internationale n WO 84/04614 décrit un dispositif de sécurité pour des données qui com- prend une enceinte formée par une matière cassante telle que du verre précontraint, et qui contient un processeur de don- nées, un dispositif de mémoire vive volatile CMOS destiné à enregistrer des données de clé de chiffrement, et une batte- rie qui constitue l'alimentation pour le dispositif de mémoire. L'enceinte est constituée par un bottier et un cou- vercle. La batterie est connectée au dispositif de mémoire par un conducteur d'alimentation auquel on donne une confi- guration de chemin en méandres sur les surfaces intérieures du bottier et du couvercle, et les parties du conducteur d'alimentation qui se trouvent sur le bottier et sur le couvercle sont connectées par des paires de contacts sur les faces du Joint entre le bottier et le couvercle. Le conduc- teur est formé par une couche mince de métal évaporé. La configuration du conducteur d'alimentation est bifilaire, et entre les parties du conducteur, sur les faces intérieures du bottier et du couvercle, sont intercalés des conducteurs supplémentaires qui sont reliés à la masse ou à une source de tension. Ainsi, si on interrompait le conducteur d'ali- mentation ou si on le connectait à l'un quelconque des con- ducteurs supplémentaires, l'alimentation de la mémoire vive volatile serait tellement perturbée que les données conte- nues dans la mémoire vive seraient détruites. Le dispositif connu présente l'inconvénient d'un niveau de sécurité rela- tivement faible, du fait que la largeur du conducteur d'ali- mentation formé sur le bottier doit être maintenue suffisam- ment grande pour permettre de fournir une énergie d'alimen- tation appropriée au dispositif de mémoire. De tels conduc- teurs relativement larges créent une possibilité de pénétra- tion. On pourrait par exemple former un trou d'un diamètre suffisamment faible pour maintenir un chemin conducteur dans un conducteur d'alimentation relativement large, mais per- mettant néanmoins un accès non autorisé au dispositif de mémoire, par le trou. En outre, la technologie à couches minces qui est utilisée dans la fabrication du dispositif connu conduit à un coût de dispositif élevé. La publication de brevet allemand no 3 023 427 décrit une structure d'enregistrement de données mobile qui comprend un ensemble de dispositifs de mémoire logés à l'in- térieur d'une enceinte fermée qui est formée par un bottier et un couvercle. Un ensemble de dispositifs de détection de pression différentielle sont logés à l'intérieur de la matière formant les parois de l'enceinte et sont en communi- cation avec des canaux fermés qui sont également formés dans les parois de l'enceinte, de façon que toute tentative de pénétration dans l'enceinte qui change la pression dans les canaux fermés soit détectée par les dispositifs de détection de pression et provoque le fonctionnement d'un relais desti- né à produire un signal d'effacement pour effacer le contenu des dispositifs de mémoire. Une paire de conducteurs minces sont également logés à l'intérieur de la matière formant les parois de l'enceinte, et ces conducteurs s'étendent selon une configuration arbitraire à travers le bottier et le cou- vercle, et ils sont connectés à une source d'alimentation et au relais. Toute influence externe qui provoque la rupture de l'un ou l'autre de ces conducteurs minces actionne égale- ment le relais pour qu'il produise un signal d'effacement destiné à effacer le contenu des dispositifs de mémoire. Ce dispositif connu présente cependant une structure complexe et coûteuse qui résulte de l'utilisation des canaux fermés et des dispositifs de détection de pression. Il existe en outre une possibilité de former un trou de petit diamètre à l'intérieur de la structure, sans interrompre l'un ou l'autre des conducteurs de la paire de conducteurs minces. Le niveau de sécurité qu'on peut obtenir avec cette structure connue est donc également limité. Un but de la présente invention est de procurer un dispositif de sécurité pour des données qui atténue l'incon- vénient précité. La présente invention procure donc un dispositif de sécurité destiné à protéger des données confidentielles enregistrées, comprenant un bottier fermé qui contient des moyens de mémoire prévus pour enregistrer des données confi- dentielles, caractérisé en ce que le bottier comporte une structure de chemins conducteurs et une structure de pelli- cules conductrices, en ce que la structure de chemins con- ducteurs -comprend un ensemble de premiers et de seconds segments de chemins conducteurs interconnectés, en ce que la structure de pellicules conductrices comprend un ensemble de pellicules conductrices interconnectées, en ce que chaque premier segment de chemin conducteur et le second segment de chemin conducteur associé et une pellicule conductrice associée sont disposés en superposition et sont séparés par une matière isolante, en ce que la structure de chemins con- ducteurs et la structure de pellicules conductrices sont connectées à un circuit de détection d'intrusion comprenant des moyens de génération de signal de restauration conçus de façon à produire un signal de restauration destiné à effacer le contenu des moyens de mémoire en cas d'interruption de la structure de chemins conducteurs, ou d'interconnexion élec- trique entre la structure de chemins conducteurs et la structure de pellicules conductrices, résultant d'une tenta- tive de pénétrer dans le bottier. L'invention sera mieux comprise à la lecture de la description qui va suivre d'un mode de réalisation, donné à titre d'exemple et en se référant aux dessins annexés sur lesquels: la figure 1 est une vue d'un dispositif de sécurité conforme à l'invention; la figure 2 est une vue en perspective éclatée du dispositif de sécurité représenté sur la figure 1, montrant l'emplacement de blocs d'interconnexion utilisés dans le dis- positif; la figure 3 est une vue par une extrémité du dispo- sitif de sécurité représenté sur la figure 1, avec la plaque latérale avant enlevée; la figure 4 est une vue en plan du dispositif de sécurité représenté sur la figure 1, avec la plaque supérieu- re enlevée; la figure 5 est une vue de dessus d'une carte de circuit imprimé qui est utilisée dans le dispositif de sécu- rité; les figures 6A-6L représentent schématiquement, et à une échelle réduite, la disposition de couches conductrices et isolantes qui sont superposées sur les surfaces intérieu- res des plaques formant le bottier du dispositif de sécuri- té; la figure 7 est un schéma montrant la manière selon laquelle certaines connexions sont réalisées entre les cou- ches conductrices et à travers les couches isolantes repré- sentées sur les figures 6A-6L; la figure 8 est un schéma montrant la manière selon laquelle des connexions supplémentaires sont réalisées entre les couches conductrices et à travers les couches iso- lantes représentées sur les figures 6A-6L; la figure 9 est un schéma montrant l'emplacement des blocs d'interconnexion sur les surfaces intérieures des plaques formant le bottier du dispositif de sécurité; les figures IOA et 10B sont des schémas montrant la manière selon laquelle des interconnexions électriques sont établies entre les plaques formant le bottier du dispo- sitif de sécurité; la figure 11 est une vue en perspective d'un bloc d'interconnexion; la figure 12 est une vue d'extrémité partielle, en partie en coupe, de l'un des blocs d'interconnexion en posi- tion entre deux des plaques; la figure 13 est une vue d'extrémité partielle, en partie en coupe, montrant l'un des blocs d'interconnexion qui assure une connexion avec la carte de circuit imprimé; la figure 14 est un schéma synoptique du circuit électronique qui se trouve à l'intérieur du dispositif de sécurité; et la figure 15 est un schéma synoptique du circuit de détection d'intrusion de la figure 14. En considérant tout d'abord les figures 1 et 2 du dessin, on voit qu'un dispositif de sécurité 10 conforme à l'invention comprend un bottier 11 qui est formé par une plaque supérieure P1, des plaques latérales P2-P5 et une plaque de base P6. Les six plaques P1-P6 sont de préférence en une matière du type céramique, du fait qu'une telle matière présente une excellente résistance à l'attaque chi- mique. A l'intérieur du bottier 11 se trouve un circuit électronique (non représenté sur les figures 1 et 2) qui est connecté électriquement à des conducteurs (non représentés) se trouvant sur un élément de circuit imprimé flexible 12 qui traverse une fente étroite 14 formée entre les plaques P1 et P2. Du fait que l'élément de circuit imprimé flexible 12 est très mince et a de façon caractéristique une épaisseur d'environ 140micromètres seulement, la hauteur de la fente étroite 14 est très faible de façon correspondante et il est donc difficile de pénétrer à travers cette dernière. Le bord extérieur 16 de l'élément flexible 12 peut être fixé à un prolongement de circuit imprimé rigide (non représenté), en vue de la connexion à d'autres éléments de circuit dans l'environnement dans lequel on utilise le dispositif de sécurité 10. Comme le montre également la figure 2, des blocs d'interconnexion N1-N14, dont on expliquera ultérieu- rement le but, sont logés à l'intérieur du bottier 11. En considérant la figure 3, on voit une vue par une extrémité du dispositif de sécurité 10, correspondant à ce qu'on voit lorsqu'on regarde dans la direction des flèches 3-3 de la figure 1, avec la plaque avant P5 enlevée. Une car- te de circuit imprimé 20 est disposée à l'intérieur du boî- tier Il du dispositif de sécurité 10. En considérant la figu- re 3 et également la vue de dessus représentée sur la figure 4, on note que des plaques de céramique 22, 24, 26, 28 sont montées sur la face supérieure de la carte de circuit imprimé et qu'une plaque de céramique supplémentaire 30 est montée sur les bords supérieurs des plaques 22-28. Des plaques de céramique 32, 34, 36 et 38 sont montées sur la face inférieu- re de la carte de circuit imprimé 20, dans des positions qui correspondent aux positions des plaques 22, 24, 26 et 28. Les emplacements des plaques 32, 34, 36 et 38 sont indiqués par des lignes de désignation en pointillés sur la figure 4. Une plaque de céramique supplémentaire 40 est montée sur les bords inférieurs des plaques 32, 34, 36 et 38. Les dix pla- ques 22-40 forment ensemble une botte en céramique intérieure 42 qui procure une sécurité supplémentaire pour le circuit électronique 84, dont l'emplacement général est indiqué par des rectangles en pointillés sur la figure 3. On notera que les composants du circuit électronique 84 sont montés sur les deux faces de la carte de circuit imprimé 20. On notera que même s'il était possible de pénétrer dans le bottier 11 avec un trou de très faible diamètre, il serait encore nécessaire de pénétrer dans la botte en céramique 42 pour accéder au circuit électronique 84. En considérant la figure 5, on voit une vue de dessus de la carte de circuit imprimé 20. La carte de cir- cuit imprimé 20 est une structure rigide qui est formée par deux éléments rigides (seul l'élément rigide supérieur 50 est représenté sur la figure 5), entre lesquels est interca- lé un élément flexible (non représenté), dont l'élément de circuit imprimé flexible 12 constitue un prolongement. La carte de circuit imprimé 20 comporte des conducteurs élec- triques classiques (non représentés) permettant d'établir des connexions électriques entre les éléments de circuit auxquels la carte de circuit imprimé est associée, comprenant le cir- cuit électronique 84 et des segments de chemins conducteurs et des pellicules conductrices sur les plaques respectives Pl-P6, comme on le décrira ci-après de fagon complète. La carte de circuit imprimé 20 est supportée sur des blocs d'interconnexion N1, N4, N7, N8, Nll et N14 par des entretoises intermédiaires 72, 74 (figure 3), qui peuvent être formées par une matière élastique telle que du caout- chouc, et qui ont pour fonction de compenser toute différence de dilatation thermique entre la céramique et la matière constitutive de la carte de circuit imprimé. Chacune des six plaques P1-P6 formant le bottier 11 porte sur sa surface intérieure, en couches respectives superposées séparées par une matière isolante, un premier segment de chemin conducteur disposé en une configuration en méandres, une pellicule conductrice, et un second segment de chemin conducteur disposé en une configuration en méandres complémentaire de la configuration en méandres du premier chemin conducteur, comme on l'expliquera ci-après de façon plus détaillée. Les segments de chemins conducteurs se trou- vant sur chaque plaque sont connectés en série pour former un segment de treillis associé à la plaque. On va maintenant décrire en détail en se référant aux fi- gures 6A-6L, 7.et8, la manière selon laquelle les segments de che- mins conducteurs et la pellicule conductrice sont formes et dispo- sés sur l'une, caractéristique, des plaques. Il faut tout d'abord noter que les figures 6A-6L représentent des couches isolantes et conductrices qui sont superposées sur la face intérieure de la plaque, et la figu- re 6A représente une couche ayant le niveau le plus élevé, qui est en verre isolant, tandis que la figure 6L représente une couche ayant le niveau le plus bas, qui est en matière conductrice. Les diverses couches isolantes et conductrices sont formées par des techniques classiques de dépôt de cou- ches épaisses. De telles techniques sont bien connues et on ne les décrira pas ici. Il suffit de dire que pour chaque couche conductrice et isolante, on prépare un écran différent et on l'utilise pour déposer une pâte conductrice ou isolante associée. Après chaque opération de dépôt à travers l'écran, on chauffe à environ 800 C la plaque portant les couches, pour cuire ou durcir la pâte déposée. L'épaisseur de la couche conductrice formée de cette manière est dans la plage d'envi- ron 10 micromètres à environ 15 micromètres. De façon plus détaillée, il faut noter que la figu- re 6A représente une couche de verre G dans laquelle sont -formés des trous G1-G4; la figure 6B représente une couche conductrice C6 qui se trouve au-dessous de la couche de verre G et qui comprend des flots conducteurs L1-L4 et des lignes conductrices C6.1-C6.5; la figure 6C représente une couche diélectrique D5 qui se trouve au-dessous de la couche con- ductrice C6 et qui comporte des trous D5.1-D5.6; la figure 6D représente une couche conductrice C5 qui se trouve au-dessous de la couche diélectrique D5 et qui comprend des lignes et des régions conductrices C5. 1-C5.9; la figure 6E représente une couche diélectrique D4 qui se trouve au-dessous de la couche conductrice C5, et qui contient des trous D4.1-D4.12; la figure 6F représente une couche con- ductrice C4 qui se trouve au-dessous de la couche diélectri- que D4 et qui comprend des lignes et des zones conductrices C4.1-C4.17;la figure 6G représente une-couche diélectrique D3 qui se trouve au-dessous de la couche conductrice C4 et qui con- tient des trous D3.1-D3.12; la figure 6H représente une couche conductrice C3 qui se trouve au-dessous de la couche diélectrique D3 et qui contient des lignes et des zones con- ductrices C3.1-C3.8; la figure 6I représente une couche diélectrique D2 qui se trouve au-dessous de la couche conduc- trice C3 et qui contient des trous D2.1-D2.4; la figure 6J représente une couche conductrice C2 qui se trouve au-dessous de la couche diélectrique D2 et qui comprend des zones con- ductrices C2.1-C2.3; la figure 6K représente une couche diélectrique D1 qui se trouve au-dessous de la couche conduc- trice C2 et qui contient des trous Dl.1 et D1.2; et la figu- re 6L représente une couche conductrice C1 située au niveau le plus bas, qui est formée sur la surface intérieure de la plaque. En considérant les figures 6A-6L en association avec la figure 7, on décrira le cheminement des segments de chemins conducteurs et leurs interconnexions, en commençant par l'flot conducteur Li et en terminant par l'flot conduc- teur L2, en notant qu'un contact est établi entre les flots conducteurs L1 et L2 à travers les trous G1 et G2 dans la couche de verre G (figure 6A). Ainsi, à partir de l'ilot conducteur LI, le chemin conducteur passe par la ligne C6.1, traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse traverse le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou le trou D5.1, D4.1, D3.1, D3.2, D4.2, D4.3, D3.3, D3.4, D4.4, D4.5, D3.5, D3.6, D4.6, D4.7, D3.7, D3.8, D4.8, D5.2, D5.3, D4.9, emprunte la ligne conductrice C5.1, passe par la région conductrice C4.1, emprunte la ligne conductrice C3.1, passe par la région conductrice C4.2, emprunte la ligne conductrice C5.2, passe par la région conductrice C4.3, emprunte la ligne conductrice C3.2, passe par la région conductrice C4.4, emprunte la ligne conductrice C5.3, passe par la région conductrice C4.5, emprunte la ligne conductrice C3.3, passe par la région conductrice C4.6, emprunte la ligne conductrice C5.4, passe par la région conductrice C4.7, emprunte la ligne conductrice C3.4, passe par la région conductrice C4.8, emprunte la ligne conductrice C5.5, emprunte la ligne conductrice C6.2, passe par la région conductrice C5.6, emprunte la ligne conductrice C4.9, traverse le trou D3.9, emprunte la ligne conductrice C3.5, traverse le trou D2.1, passe par la région conductrice C2.2, traverse le trou Dli.1, emprunte la ligne conductrice C1.1, traverse le trou D1.2, passe par la région conductrice C2.3, traverse le trou D2.2, emprunte la ligne conductrice C3.6, traverse le trou D3.10, emprunte la ligne conductrice C4.10, traverse le trou D4.10, passe par la région conductrice C5.7, traverse le trou D5.4 et emprunte la ligne conductrice C6.3, en direction de l'îlot conducteur L2. On notera que les lignes conductrices C5.1-C5.5, C3.1-C3.4, considérées ensemble, forment un premier segment de chemin conducteur qu'ondésigneparCPSl, et que la ligne con- ductrice C1.1 forme un second segment de chemin conducteur qu'on désigne par CPS2, les deux segments étant connectés en série. En considérant les figures 6A-6L, en association avec la figure 8, on va maintenant décrire l'emplacement et les interconnexions de la pellicule conductrice, en commen- çant par l'flot conducteur L3 et en terminant par l'ilot con- ducteur L4, en notant qu'un contact est établi entre les tlots conducteurs L3 et L4 à travers les trous G3 et G4 dans la couche de verre G (figure 6A). Ainsi, à partir de l'!lot conducteur L3, l'interconnexion se prolonge par la ligne conductrice C6.4, elle traverse le trou D5.5, passe par la région conductrice C5.8, traverse le trou D4.11 et emprunte la ligne conductrice C4.11 qui se dirige vers les lignes conductrices C4.12 et C4.13 qui sont respectivement connec- tées aux zones conductrices C4.16 et C4.17 qui forment des parties de la pellicule conductrice. L'interconnexion se prolonge également à partir de la ligne conductrice C4.11 en empruntant la ligne conductrice C4.14 vers la région conduc- trice C4.14A, et elle traverse le trou D3.11, passe par la région conductrice C3.7, traverse le trou D2.3 vers la par- tie de pellicule conductrice C2.1 et, à partir de là, elle traverse le trou D2.4, passe par la région conductrice C3.8, traverse le trou D3.12, passe par la région conductrice C4.15A et la ligne conductrice C4.15, traverse le trou D4.12, passe par la région conductrice C5.9, traverse le trou D5.6 et emprunte la ligne conductrice C6.5 en direction de l'îlot conducteur L4. On notera que les zones conductrices C2.1, C4.16 et C4.17 considérées ensemble, forment la pellicule conduc- trice, et on remarquera que les zones C4.16, C4.17 recouvrent les coins découpés de la zone C2.1, comme la figure 8 le mon- tre le mieux. On comprend que des couches ayant des configura- tions identiques aux couches. représentées sur les figures 6A-6L sont formées sur toutes les plaques, bien que la forme réelle des plaques P2P5 soit évidememnt rectangulaire au lieu d'être carrée. La seule exception consiste en ce que les configurations de la couche conductrice supérieure, com- prenant la position des ilots L1-L4 (figure 6B) et de la couche de verre supérieure correspondante G (figure 6A) va- rieront d'une plaque à une autre pour permettre d'établir des interconnexions avec les îlots L1-L4 à des emplacements appropriés sur les plaques P1-P6 individuelles. Il faut noter que les diverses lignes conductrices des couches conductrices C1, C3-C6 qui sont représentées schématiquement sur les figures 6A-6L, sont formées avec une largeur d'environ 300 micromètres, et que l'écartement entre-les méandres dans les couches C1 et C5 est également d'environ 300 micromètres. Il faut également noterque les premier et second segments de chemins conducteurs CPS1, CPS2 sont dis- posés avec des configurations en méandres de manière mutuel- lement complémentaire, c'est-à-dire que les méandres du pre- mier segment de chemin conducteur CPS1 recouvrent les espa- ces formés entre les méandres du second segment de chemin conducteur CPS2, et que les espaces formés entre les méan- dres du premier segment de chemin conducteur CPS1 recouvrent les méandres du second segment de chemin conducteur CPS2. Les segments de chemins conducteurs CPSI, CPS2 connectés en série sur chaque plaque constituent conjointement un segment de treillis conducteur pour cette plaque. De plus, la zone conductrice C2.1 de la couche conductrice C2 et les zones conductrices C4.16 et C4.17 de la couche conductrice C4 for- ment conJointement une pellicule conductrice. On va maintenant décrire brièvement la manière selon laquelle on assemble le dispositif de sécurité 10. On prépare tout d'abord les six plaques P1P6 et on forme sur celles-ci les couches conductrices et isolantes décrites en relation avec les figures 6A-6L. On assemble ensuite par collage à l'époxyde les plaques Pi-P5 avec les blocs d'in- terconnexion N1-N14. On assemble ensuite la carte de circuit imprimé 20, portant la botte en céramique intérieure 42, et on la fixe de manière conductrice, au moyen d'entretoises conductrices 72, sur les blocs d'interconnexion N1, N7, N8 et N14, et on la fixe de manière non conductrice, en utili- sant les entretoises non conductrices 74, sur les blocs d'interconnexion N4 et Nil. On fait passer l'élément de cir- cuit imprimé flexible 12 au sommet de la plaque P2. Enfin, on place la plaque P1 sur l'assemblage. On fixe la plaque P1 aux bords supérieurs des plaques P2 à P5 et à l'élément de circuit imprimé flexible 12, par collage avec de l'époxyde qui emplit également la fente 14 entre les plaques P1 et P2. On fixe également de manière conductrice la plaque P1 aux blocs d'interconnexion N2, N3, N12 et N13. On ajoute une matière époxyde non conductrice (non représentée) à tous les coins et les bords du dispositif 10, pour augmenter sa résistance mécanique. On notera qu'avec la configuration décrite, si on tente de pénétrer dans le bottier 11, en formant un petit trou à travers l'une des plaques P1-P6, ce trou traversera l'un au moins des segments de chemins conducteurs formés sur la plaque et il traversera la pellicule conductrice formée sur la plaque. Ceci procure un degré de sécurité très élevé pour les données confidentielles enregistrées dans le dispo- sitif 10, comme on l'expliquera ci-après. En outre, on obtient un tel degré de sécurité élevé en utilisant la technologie des couches épaisses, qui est relativement éco- nomique. On va maintenant décrire en considérant spéciale- ment les figures 9, 10A et 10B, la manière selon laquelle sont interconnectés les segments de treillis et les pellicu- les conductrices sur les six plaques P1-P6. On réalise les interconnexions en utilisant quatorze blocs d'interconnexion N1-N14. En considérant brièvement la figure 11, on voit un bloc d'interconnexion N1 de type caractéristique. Le bloc N1 est un bloc de céramique comportant six surfaces planes. Trois surfaces adjacentes 40, 42 et 44 portent des zones conductrices respectives 46, 48 et 50, formées par des techniques classiques de dép8t de couches épaisses, de façon à former un chemin conducteur entre les zones conduc- trices 46 et 50, par l'intermédiaire de la zone conductrice 48. Les zones 46 et 50 ont une forme rectangulaire et la zone 48 a une forme partiellement annulaire. Cette configu- ration des zones conductrices 46, 48 et 50 procure une sécurité supplémentaire lorsque le bloc d'interconnexion est en position à l'intérieur du bottier 11, comme on l'expli- quera ci-après de façon plus complète. La figure 9 montre schématiquement les positions physiques des blocs d'interconnexion N1-N14 sur les surfa- ces intérieures des plaques P1-P6. A titre d'aide supplé- mentaire à la compréhension, les positions des blocs d'in- terconnexion N1-N14 sont également représentées dans la vue en perspective éclatée de la figure 2. On va maintenant décrire comment les segments de treillis pour les six plaques P1-P6 sont interconnectés ensemble au moyen des blocs d'interconnexion N1-N7, pour former un treillis WM (figure 10A). On notera tout d'abord que sur la figure 10A, les petits cercles 60 représentent des connexions réalisées par collage conducteur, comme par collage avec une matière épo- xyde conductrice. En partant d'un contact conducteur B1 sur la carte de circuit imprimé 20, le chemin du treillis WM emprunte le bloc d'interconnexion N1, un flot conducteur P5L1 (correspondant à l'tlot L1 sur la figure 6B) sur la plaque P5, le segment de treillis PSW sur la plaque P5, un flot conducteur P5L2 (correspondant à l'1lot L2 sur la figu- re 6B) sur la plaque P5, le bloc d'interconnexion N2, un flot conducteur PiL1 sur la plaque P1, le segment de treil- lis P1W sur la plaque P1, un flot conducteur P1L2 sur la plaque P1, le bloc d'interconnexion N3, un flot conducteur P4L1 sur la plaque P4, le segment de treillis P4W sur la plaque P4, un flot conducteur P4L2 sur la plaque P4, le bloc d'interconnexion N4, un flot conducteur P6L1 sur la plaque P6, le segment de treillis P6W sur la plaque P6, un flot conducteur P6L2 sur la plaque P6, le bloc d'intercon- nexion NS, un flot conducteur P2L1 sur la plaque P2, le segment de treillis P2W sur la plaque P2, un flot conduc- teur P2L2 sur la plaque P2, le bloc d'interconnexion N6, un flot conducteur P3L1 sur la plaque P3, le segment de treil- lis P3W sur la plaque P3, un flot conducteur P3L2 sur la plaque P3, le bloc d'interconnexion N7, pour atteindre un contact conducteur B2 sur la carte de circuit imprimé 20. On décrira ensuite la manière selon laquelle les pellicules conductrices sur les six plaques sont intercon- nectées pour former une structure de pellicules conductri- ces, qu'on appelle commodément un "plan de tension" VP, pour le bottier 11. On notera ici encore que les petits cercles 62 sur la figure 10B représentent des connexions réalisées par collage conducteur, comme par collage avec une matière épo- xyde conductrice. En partant d'un contact conducteur B3 sur la carte de circuit imprimé 20, l'interconnexion fait inter- venir le bloc d'interconnexion N8, un flot conducteur P5L3 sur la plaque PS, la pellicule conductrice P5C sur la plaque PS, un îlot conducteur PSL4 sur la plaque P5, le bloc d'in- terconnexion N9, un îlot conducteur P2L3 sur la plaque P2, la pellicule conductrice P2C sur la plaque P2, un flot con- ducteur P2L4 sur la plaque P2, le bloc d'interconnexion Nl0, un flot conducteur P6L3 sur la plaque P6, la pellicule con- ductrice P6C sur la plaque P6, un flot conducteur P6L4 sur la plaque P6, le bloc d'interconnexion Nll, un lot conduc- teur P4L3 sur la plaque P4, la pellicule conductrice P4C sur la plaque P4, un Slot conducteur P4L4 sur la plaque P4, le bloc d'interconnexion N12, un îlot conducteur P1L3 sur la plaque P1, la pellicule conductrice PiC sur la plaque Pl, un flot conducteur P1L4 sur la plaque P1, le bloc d'intercon- * nexion N13, un flot conducteur P3L3 sur la plaque P3, la pellicule conductrice P3C sur la plaque P3, un îlot conduc- teur P3L4 sur la plaque P3, et le bloc d'interconnexion N14, pour atteindre un contact conducteur B4 sur la carte de circuit imprimé 20. En considérant maintenant la figure 12, on va décrire la manière selon laquelle l'un,caractéristique5des blocs d'interconnexion interconnectant deux des plaques Pi- P6 est placé par rapport aux deuxplaques auxquelles il est associé. On décrira à titre d'exemple la position du bloc d'interconnexion N4 par rapport aux plaques P4 et P6. Le bloc N4 comporte des zones conductrices 46A, 48A et 50A qui correspondent aux zones conductrices 46, 48, 50 du bloc N1 de la figure 11. La zone conductrice 46A est connectée par de la matière adhésive conductrice 60 (voir également la figure 10A) à l'îlot conducteur P4L2 sur la plaque P4. On notera que, sur les plaques P4 et P6, les couches con- ductrices C5, C2 et C1 décrites ci-dessus en relation avec les figures 6D, 6J et 6L sont représentées et désignées par les références P4C5, P4C2 et P4C1 sur la plaque P4, et par les références P6C5, P6C2 et P6C1 sur la plaque P6. En outre, les couches conductrices C6, C4 et C3 décrites précé- demment en relation avec les figures 6B, 6F et 6H ne sont pas visibles sur les plaques P4 et P6 sur la représentation de la figure 13. En ayant ceci à l'esprit, on peut voir que le bloc d'interconnexion N4 est placé de façon que la zone conductrice 46A soit connectée par de la matière époxyde conductrice 60 à l'îlot conducteur P4L2 sur la plaque P4, et de façon que la zone conductrice 50A soit connectée par la matière époxyde conductrice 60 à l'îlot P6L1 sur la plaque P6. Les régions 66 et 68 représentent la matière des couches diélectriques D1-D5 et de la couche de verre supérieure G, décrites précédemment. On notera que même s'il était possible de péné- trer dans le bottier 11 dans la région 70 située entre les plaques P4 et P6, la disposition des zones conductrices 46A, 48A et 50A sur le bloc d'interconnexion N4 rendrait extrêmement difficile l'accès au chemin conducteur sur le bloc N4. Ceci procure la sécurité supplémentaire qui résulte de la structure des blocs d'interconnexion N1-N14 qui a été mentionnée ci-dessus. En considérant maintenant la figure 13, on voit une vue par une extrémité comprenant le bloc d'interconne- xion N1, qui interconnecte l'îlot PSL1 sur la plaque P5 avec le contact B1 sur la carte de circuit imprimé 20. Les cou- ches conductrices P5C1, P5C2 et P5C5 sont représentées pour la plaque PS et les couches conductrices P6C1, P6C2 et P6C5 sont représentées pour la plaque P6. L'îlot conducteur P5L1 sur la plaque PS est connecté par la matière adhésive con- ductrice 60 A la zone conductrice 50 sur le bloc Nl,et la zone conductrice 46 sur le bloc N1 est connectée par la matière adhésive conductrice 60 à l'entretoise 72, qui est en une matière élastique et conductrice, telle que du caoutchouc conducteur. L'entretoise 72 est connectée par la matière adhésive conductrice 76, telle que de la matière époxyde conductrice, au contact B1 sur la surface inférieure de la carte de circuit imprimé 20. Le contact B1 assure la connexion avec des lignes conductrices (non représentées) qui sont incorporées dans la carte de circuit imprimé 20. On considérera maintenant la figure 14 pour décri- re de façon plus détaillée le circuit électronique 84 de la figure 3. Le circuit électronique 84 comprend un circuit de traitement de données 100 et un circuit de détection d'in- trusion 102. On peut utiliser le circuit de traitement de don- nées 100 pour accomplir n'importe quelle opération de trai- tement de données désirée dans des applications telles par exemple que des systèmes de paiement électroniques, des transferts de fonds électroniques, le chiffrement/déchiffre- ment de données, la vérification de numéro d'identification personnelle, l'émission/réception de données, l'autorisa- tion ou l'interdiction d'accès et les opérations bancaires accomplies à domicile. Le circuit de traitement de données comprend un processeur 102 destiné à commander sélecti- vement le fonctionnement du circuit électronique 84 sous la dépendance de données et d'instructions d'entrée, un cir- cuit de synchronisation et de commande 104 destiné à comman- der le fonctionnement du processeur 102, une mémoire morte programmable 106 destinée à enregistrer le programme que doit exécuter le processeur 102, une mémoire vive 108 destinée à assurer un enregistrement temporaire, une mémoire volatile 110 destinée à enregistrer de façon permanente les données les plus confidentielles ou dont la sécurité est la plus importante, comme une clé d'enregistrement de clés (CEC) (qu'on expliquera), un générateur de nombres aléatoi- res 112 et une unité d'entrée/sortie (E/S) 114. Un bus de données, de commande et d'adresse 116, un bus d'E/S bidirectionnel 118 et des lignes d'E/S 120 et 122 sont connectés au processeur 102, au circuit de syn- chronisation et de commande 104, à la mémoire morte program- mable 106, à la mémoire vive 108 et à l'unité d'E/S 114, pour permettre au circuit de traitement de données 100 d'accomplir ses opérations de traitement de données. On peut transmettre les données par le bus bidirectionnel d'E/S 118 vers le processeur 102 et à partir de ce dernier, et par les lignes d'E/S 120 et 122, vers l'unité d'E/S 114, ou à partir de cette dernière. Les extrémités éloignées du bus d'E/S 118 et des lignes d'E/S 120 et 122 peuvent être connectées sélectivement à des éléments tels par exemple qu'un autre processeur de données (non représenté), un ordinateur cen- tral (non représenté) et un périphérique (tel qu'un clavier) (non représenté), par l'intermédiaire de l'élément flexible 12 (figure 1), pour permettre au circuit de traitement de données 100 d'accomplir ses opérations présélectionnées. L'énergie nécessaire au fonctionnement du circuit électronique 84 est de préférence fournie par des sources d'énergie externes (non représentées), telles que des ali- mentations et des batteries, connectées par l'intermédiaire de l'élément flexible 12 (figure 1). Un sous-programme d'initialisation, contenu dans le programme enregistré dans la mémoire morte programmable 106, est exécuté dans un mode de fonctionnement spécial commandé par une personne autorisée. Il est préférable que ce sous-programme d'initialisation ne puisse être exécuté qu'une seule fois après que le dispositif de sécurité 10 (figure 1) a été complètement assemblé. Pour accroître la sécurité, il est préférable que la mémoire volatile 110 soit par exemple une mémoire effa- çable telle qu'une mémoire constituée par un registre à décalage à 64 bits. Pendant l'exécution d'un sous-programme INITIALI- SATION, le processeur 102 applique un signal INITIALISATION au générateur de nombres aléatoires 112, pour permettre à ce dernier de générer un nombre aléatoire qui est enregis- tré dans la mémoire 110, à titre d'exemple sous la forme d'une séquence de 64 bits aléatoires. Cette séquence de 64 bits aléatoires est la CEC (clé d'enregistrement de clés), qui constitue les données les plus confidentielles ou dont la sécurité est la plus importante, que contient le circuit de traitement de données 100. On utilise la CEC pour chiffrer des clés destinées à 8tre introduites dans le dis- positif de sécurité 10, pour l'enregistrement dans la mémoire vive 108. On utilise ensuite de telles clés pour des opérations de chiffrement de données. La manière précise selon laquelle on utilise la CEC ne présente pas d'importan- ce en ce qui concerne l'invention, et on ne la décrira donc pas davantage ici. Il faut cependant noter que la mémoire effaçable 110 enregistre la CEC, qu'on ne peut pas modifier le contenu de la mémoire 110 (si le dispositif de sécurité a été programmé de façon à n'exécuter qu'une seule fois le programme d'initialisation), que la CEC n'est jamais émise vers l'extérieur du dispositif de sécurité 10, et que dans un but de sécurité, on doit empêcher l'accès externe, par divers moyens, à la CEC qui est contenue dans la mémoire 110. Le circuit de détection d'intrusion 102 est incorporé dans le circuit électronique 84 pour détruire activement de façon spécifique la CEC qui se trouve dans la mémoire effaçable 110 en cas de tentative de pénétration dans le bottier 11 du dispositif de sécurité 10, pour accé- der à la CEC qui est enregistrée dans la mémoire 110. Il faut noter que si la CEC est détruite, des données chif- frées ou des clés quelconques enregistrées dans la mémoire vive 108 se trouvent dépourvues de signification ou d'uti- lité. Les deux principales manières que quelqu'un pourrait employer pour tenter d'accéder à la CEC enregistrée dans la mémoire effaçable 110, ainsi que la réaction du circuit de détection d'intrusion 102 à de telles tentatives, sont décrites ci-après. Premièrement, on peut tenter de pénétrer dans le bottier céramique 11 du dispositif de sécurité 10 en per- gant un trou dans le bottier 11 ou en cassant ce dernier. Pour se protéger contre cette possibilité, le plan de ten- sion VP de la figure 10B est connecté entre une tension d'alimentation VC et un circuit de détection 124, tandis que le treillis WM de la figure 10A est connecté entre un poten- tiel de référence tel que la masse et un circuit de détec- tion 126. Dans le cas d'une tentative visant à percer ou à casser le bottier 11 pour pénétrer dans ce dernier, qui interrompt le treillis WM, le circuit de détection 126 génè- re un signal de tension basse au point 128. De façon simi- laire, si une telle tentative court-circuite le treillis WM au plan de tension VP, le circuit de détection génère un signal de tension basse au point 128. Sous l'effet d'un signal de tension basse au point 128, un détecteur de ten- sion basse 130 génère sur la ligne 131 un signal RESTAURA- TION destiné à restaurer la mémoire 110, ce qui efface ou détruit de façon active la CEC contenue dans la mémoire effaçable 110. On sait qu'il est possible de conserver des don- nées dans des cellules CMOS statiques d'une mémoire lorsque celle-ci n'est pas alimentée (absence de tension d'alimenta- tion ou de tension de batterie), si on fige initialement ces cellules à une température inférieure à -90 C, avant de cou- per l'alimentation de la mémoire 110. Si on effectuait ceci, il serait possible de pénétrer ensuite de force dans le dis- positif de sécurité 10 et de lire le contenu "figé" de la mémoire 110. Un capteur de basse température 132 est donc prévu dans le circuit de détection d'intrusion 102 pour protéger le dispositif de sécurité 10 (figure 1) contre l'intrusion décrite ci-dessus à des températures extrêmement basses. Le capteur 132 est également connecté au point 128. Le capteur 132 est réalisé de façon que lorsque la température à l'in- térieur du bottier 11 (figure 1) tombe par exemple à -25 C, il génère et applique un signal de tension basse au point 128. Ce signal de tension basse que le capteur 132 applique au point 128 agit sur le détecteur de tension basse 130 de façon qu'il génère un signal RESTAURATION sur la ligne 131 pour restaurer la mémoire 110 de façon à effacer ou détruire de manière active la CEC qui se trouve dans la mémoire 110. On va maintenant décrire de façon plus détaillée le circuit de détection d'intrusion 102, en se référant à la figure 15. Le circuit de détection d'intrusion 102 comprend essentiellement quatre parties. Une première partie comprend le plan de tension VP et le circuit de détection 124. Une seconde partie comprend le treillis WM et le circuit de détection 126. Une troisième partie comprend le capteur de température basse 132. Les première, seconde et troisième parties sont toutes connectées à une sortie commune en un point 128, qui est lui-même connecté à la quatrième partie qui comprend le détecteur de tension basse 130. Par consé- quent, si l'une quelconque des première, seconde ou troi- sième parties détecte une tentative quelconque d'accéder à la CEC dans la mémoire 110 (figure 14), un signal de sortie à l'état bas apparaît au point 128. Comme mentionné précé- demment, un tel signal de sortie à l'état bas au point 128 agit sur le détecteur de tension basse 130 de façon qu'il restaure de façon active la mémoire 110, pour détruire la CEC qui est enregistrée dans cette mémoire. Dans la première partie, le contact B4 du plan de tension VP est connecté au circuit de détection 124. Une tension d'alimentation haute ou positive VC est appliquée au contact B3 du plan de tension VP et à chacun des inver- seurs 134 et 136 connectés en cascade, dans le circuit de détection 124. Pour les besoins de la description, on suppo- sera que VC= +4,5 volts. Une résistance 138 de 3 mégohms est connectée entre le contact B4 du plan de tension VP et un potentiel de référence bas tel que la masse. Le contact B4 est également connecté à l'entrée de l'inverseur 134. Le signal de sortie de l'inverseur 136 est appliqué au point 128 par l'intermédiaire d'une résistance 140 de 120 kiloohms. Lorsque le plan de tension VP n'est pas court- circuité avec le treillis WM, l'entrée de l'inverseur 134 est à l'état haut, la sortie de l'inverseur 134 est à l'état bas et la sortie de l'inverseur 136 est à l'état haut. Dans la seconde partie, le contact B1 de WM est connecté au circuit de détection 126 et le contact B2 de WM est connecté au potentiel de référence bas ou à la masse. Une résistance d'un mégohm 142 est connectée entre le contact B1 de WM et Vc. La tension d'alimentation VC est également appliquée aux inverseurs 144, 146 et 148 branchés en casca- de. Le contact B1 est également connecté à l'entrée de l'in- verseur 144 dont la sortie est connectée à l'entrée de l'in- verseur 146. La sortie de l'inverseur 146 est ensuite con- nectée à l'entrée de l'inverseur 148. La sortie de l'inver- seur 148 est connectée au point 128 par une résistance 150 de 120 kiloohms. Une résistance 152 de 30 kiloohms est con- nectée entre le point 128 et la masse pour générer un signal de sortie commun pour les circuits de détection 124 et 126, ainsi que pour le capteur de température basse 132 (qui fera l'obJet d'une explication ultérieure). Lorsque le treillis WM est intact (ni interrompu ni court-circuité à VC ou VP), l'entrée de l'inverseur 144 est à l'état bas, la sortie de l'inverseur 146 est à l'état bas et la sortie de l'inverseur 148 est à l'état haut. La troisième partie comprend le capteur de température basse 132 (figure 14). Le capteur de température basse 132 comprend: un circuit en pont à coefficient de température négatif (CTN) 154, qui comprend des résistances 156 et 158 connectées en série entre Vc et la masse, et des résistan- ces 160 et 162 connectées en série entre V et la masse; un amplificateur opérationnel 164 dont l'entrée non inver- seuse (+) est connectée au point de connexion des résistan- ces 156 et 158 et dont l'entrée inverseuse (-) est connectée au point de connexion des résistances 160 et 162; un inverseur 166 destiné à inverser le signal de sortie de l'amplificateur opérationnel 164; et une diode 168 connec- tée entre la sortie de l'inverseur 166 et le point 128. Les résistances 160 et 162 peuvent être des résistances de 800 kiloohms, tandis que les résistances 158 et 160 peuvent être des résistances de 68 kiloohms ayant des coefficients de température négatifs (CTN). Avec ce mode de réalisation, le circuit en pont 154 serait déséquilibré jusqu'à ce que la température à l'intérieur du boîtier 11il atteigne approximativement -25 C. On peut voir aisément que lorsque le circuit en pont 154 est déséquilibré, l'amplificateur opérationnel 164 produit un signal de sortie à l'état bas qui est inversé par l'inverseur 166 de façon à polariser en inverse la diode 168. Par conséquent, lorsque la température à l'intérieur du bottier 11 (figure 1) est supérieure à -25 C, le capteur de température basse 132 est effectivement isolé du point 128 par la diode 168 polarisée en inverse. La quatrième partie comprend un détecteur de ten- sion basse 130 qui est connecté au point 128 pour générer le signal RESTAURATION sur la ligne 131 lorsque le potentiel aux bornes de la résistance 152 est inférieur à une tension de seuil présélectionnée, qui est par exemple de +1,15 volt lorsque VC = +4,5 volts; un condensateur 170 connecté entre le point 128 et la masse pour maintenir le potentiel d'en- trée du détecteur 130 (la tension produite aux bornes de la résistance 152) pendant une durée suffisante pour permettre au détecteur 130 de générer un signal RESTAURATION lorsque le potentiel aux bornes de la résistance 152 tombe au-dessous de +1,15 volt. Le détecteur de tension basse 130 peut être un comparateur de tension qui produit un signal de sortie à l'état bas lorsque la tension aux bornes de la résistance 152 tombe au-dessous d'un potentiel de référence interne de +1,15 volt. On va maintenant envisager diverses conditions: (1) Lorsque aucune tentative de refroidir le boi- tier 11 et/ou de pénétrer dans celui-ci pour accéder à la CEC dans la mémoire effaçable 110 (figure 14), n'a eu lieu, la température dans le bottier 11 (figure 1) est suffisam- ment élevée pour ne pas déclencher le capteur de températu- re basse 132, et le treillis WM est intact. Il en résulte que les signaux de sortie des inverseurs 136 et 148 sont tous deux à l'état haut. Par conséquent, la tension dévelop- pée aux bornes de la résistance 152 (environ +1,15 volt) sera supérieure au seuil de 1,15 volt du détecteur de ten- sion basse 130. Le détecteur de tension basse 130 ne produi- ra donc pas le signal RESTAURATION. (2) Lorsque le plan de tension VP est court- circuité à la masse, le contact B4 passe à un potentiel bas, ce qui fait passer à l'état bas l'entrée de l'inverseur 134. Ce signal d'entrée à l'état bas est inversé par l'inverseur 134 pour donner un signal à l'état haut. Le signal à l'état haut (+4,5 volts) provenant de l'inverseur 134 est inversé par l'inverseur 136 pour donner un signal à l'état bas (0 volt). On suppose que le treillis WM n'est pas interrompu à ce moment et que l'inverseur 148 produit donc un signal de sortie à l'état haut (+4,5 volts). Il en résulte qu'un divi- seur de tension comprenant les résistances 140, 150 et 152 fait descendre le potentiel du point 128 à environ +0,9 volt. Du fait que le potentiel de +0,9 volt est infé- rieur au seuil de +1,15 volt du détecteur de tension basse , ce dernier produit le signal RESTAURATION pour restau- rer de façon active la mémoire 110 (figure 14). (3) Lorsque le treillis WM est interrompu ou court-circuité à VC ou VP, le contact B1 passe à un potentiel haut (+4,5 volts). L'inverseurl44 inverse ce signal à l'état haut. Le signal à l'état bas (0 volt) que produit l'inverseur 144 est inversé par l'inverseur 146. Le signal à l'état haut provenant de l'inverseur 146 est inversé par l'inverseur 148. Le diviseur de tension qui est formé par les résistances 140, et 152 fait tomber le potentiel du point 128 à approxi- mativement +0,9 volt. Dans ces conditions, le détecteur de tension basse 130 produit le signal RESTAURATION pour res- taurer la mémoire 110 (figure 14). (4) Si VC tombe au-dessous de +3,5 volts, la ten- sion aux bornes du condensateur 170 tombe au-dessous de +1,15 volt. Dans ces conditions, le détecteur de tension basse 130 génère à nouveau le signal RESTAURATION sur la ligne 131. (5) Lorsque la température dans le bottier tombe au-dessous de -25 C, le circuit en pont 154 dans le capteur de température basse 132 devient équilibré ou déséquilibré dans le sens opposé. Dans un cas comme dans l'autre, l'amplificateur opérationnel 164 produit un signal de sor- tie à l'état haut qui est inversé par l'inverseur 166. Le signal de sortie à l'état bas (0 volt) provenant de l'in- verseur 166 polarise en direct la diode 168, ce qui fait tomber vers O volt le potentiel du point 128. Ceci fait tomber vers O volt la tension de charge aux bornes du con- densateur 170. Cependant, dès que la tension aux bornes du condensateur 170 tombe au-dessous de +1,15 volt, le détec- teur de tension basse 130 génère le signal RESTAURATION sur la ligne 131, pour effacer la mémoire 110. L'invention procure ainsi un dispositif de sécu- rité 10 pour l'enregistrement sûr de données confidentiel- les. Elle assure la protection du dispositif 10 contre une attaque chimique, une attaque physique et l'intrusion à une température extrêmement basse. On ne peut pas pénétrer à l'intérieur du bottier en céramique au moyen de produits chimiques, du fait que la céramique ne se dissoudra pas. Une attaque physique par coupure ou perçage entraînera une cassure ou une rupture du bottier en céramique 11, ce qui aura pour effet de rompre ou d'endommager le treillis WM ou de court-circuiter le treillis avec le plan de tension VP. Comme mentionné précédemment, on voit que si on forme un trou dans l'une des plaques P1 - P6, l'un au moins des segments de chemins conducteurs se trouvant sur cette plaque, ainsi que la pellicule conductrice se trouvant sur la plaque, seront interrompus. En outre, des tentatives d'utiliser un fluide conducteur pour établir des dérivations sur les interruptions des treillis provoqueront une court-circuit entre le treillis WM et le plan de tension VP. Le circuit de détection d'intrusion 102 restaurera alors de façon active la mémoire effaçable 110, pour détruire les données confi- dentielles qui sont enregistrées à l'intérieur. De façon similaire, toute tentative d'intrusion dans le dispositif de sécurité 10 à une température extrêmement basse conduira également le circuit de détection d'intrusion 102 à restau- rer de façon active la mémoire 110. -1- -Il- estputsib-ie d'apporter des modifications au dispositif de sécurité. Par exemple, sur les plaques formant le bottier, la pellicule conductrice pourrait être placée de façon à recouvrir les deux segments de chemins conducteurs, au lieu d'être placée entre eux. De plus, on pourrait échan- ger les connexions de l'alimentation VC et du potentiel de masse au plan de tension VP et au treillis WM. Une autre modification pourrait consister à pré- voir des blocs de céramique supplémentaires pour protéger la surface supérieure et le bord de la carte de circuit imprimé 20 à l'endroit auquel cette dernière fait saillie hors de la botte en céramique intérieure 42. Selon une variante, si un degré de sécurité légèrement moindre est acceptable dans une application particulière, on pourrait supprimer du disposi- tif la botte en céramique intérieure 42. Il va de soi que de nombreuses autres modifica- tions peuvent être apportées au dispositif décrit et repré- senté, sans sortir du cadre de l'invention. REVENDICATIONS 1. Dispositif de sécurité destiné à protéger des données confidentielles enregistrées, comprenant un bottier fermé qui contient des moyens de mémoire prévus pour enre- gistrer des données confidentielles, caractérisé en ce que ce bottier (11) comprend une structure de chemins conduc- teurs (WM) et une structure de pellicules conductrices (VP), en ce que la structure de chemins conducteurs (WM) comprend un ensemble de premiers (C5.1-C5.9) et de seconds (Cl.1) segments de chemins conducteurs, en ce que la structure de pellicules conductrices (VP) comprend un ensemble de pelli- cules conductrices interconnectées (C2.1, C4.16, C4.17), en ce que chaque premier segment de chemin conducteur, un second segment de chemin conducteur associé et une pellicule conductrice associée sont disposés en superposition mutuelle et sont séparés par une matière isolante, et en ce que la structure de chemins conducteurs et la structure de pellicu- les conductrices (VP) sont connectées à un circuit de détec- tion d'intrusion (102), comprenant des moyens de génération de signal de restauration (130) conçus de façon à produire un signal de restauration pour effacer le contenu des moyens de mémoire (110) dans le cas de l'interruption de la struc- ture de chemins conducteurs (WM) ou de l'interconnexion électrique entre la structure de chemins conducteurs (WM) et la structure de pellicules conductrices (VP), résultant d'une tentative de pénétration dans le bottier (11). 2. Dispositif de sécurité selon la revendication 1, caractérisé en ce que chacune des pellicules conductrices (C2.1, C4.16, C4.17) est placée entre les premier et second segments de chemins conducteurs associés. 3. Dispositif de sécurité selon la revendication 1, caractérisé en ce que les premiers et seconds segments de chemins conducteurs (C5.1-C5.9, CI.1) sont disposés selon des configurations en méandres respectives, et des premier et second segments de chemins conducteurs associés ont une configuration telle que le premier segment de chemin conduc- teur se trouve au-dessus de la zone correspondant à l'écar- tement entre les parties du second segment de chemin conduc- teur associé, et la zone correspondant à l'écartement entre les parties du premier segment de chemin conducteur se trou- ve au-dessus du second segment de chemin conducteur associé. 4. Dispositif de sécurité selon la revendication 1, caractérisé en ce que le bottier (11) comprend un ensem- ble de plaques individuelles (P1-P6) qui sont mutuellement accouplées pour former le bottier (11), et en ce que les premiers et seconds segments de chemins conducteurs et les pellicules conductrices sont disposés sur les plaques, avec les premiers et seconds segments de chemins conducteurs sur chaque plaque connectés en série pour former un segment de treillis, le dispositif comprenant des moyens d'intercon- nexion (N1-N14) qui interconnectent en série les segments _- de trei1li 4Spour--es-p-aques, afin de former la structure de chemins conducteurs (WM) et qui interconnectent en série les pellicules conductrices pour les plaques, afin de for- mer la structure de pellicules conductrices (VP). 5. Dispositif de sécurité selon la revendication 4, caractérisé en ce que les segments de chemins conduc- teurs ont une largeur et un écartement d'environ 300 micromètres. 6. Dispositif de sécurité selon la revendication 4, caractérisé en ce que les moyens d'interconnexion com- prennent un ensemble de dispositifs d'interconnexion indi- viduels (N1-N14), chacun d'eux se présentant sous la forme d'un bloc à plusieurs faces comportant des première, secon- de et troisième zones conductrices (46, 48, 50) disposées respectivement sur des première, seconde et troisième sur- faces du bloc, pour former un chemin conducteur continu de la première région conductrice jusqu'à la troisième région conductrice, en passant par la seconde région conductrice. 7. Dispositif de sécurité selon la revendication 1, caractérisé en ce que le circuit de détection d'intrusion (102) comprend des premiers et seconds moyens de détection (124, 126), respectivement connectés à la structure de pellicules conductrices (VP) et à la structure de chemins conducteurs (WM), pour produire respectivement des premier et second signaux de commande, et en ce que les moyens de génération de signal de restauration (130) sont connectés aux premiers et seconds moyens de détection et sont conçus de façon à générer le signal de restauration sous la dépendance de l'un ou de l'autre des premier et second signaux de com- mande. 8. Dispositif de sécurité selon la revendication 7, caractérisé en ce que la structure de pellicules conduc- trices (VP) comporte une première borne connectée à des moyens d'alimentation et une seconde borne connectée aux premiers moyens de détection (124), et connectée par une première résistance (138) à un potentiel de référence, et en ce que la structure de chemins conducteurs (WM) comporte une première borne qui est connectée aux seconds moyens de détection (126) et qui est connectée par une seconde résis- tance (142) aux moyens d'alimentation, et une seconde borne qui est connectée au potentiel de référence. 9. Dispositif de sécurité selon l'une quelconque des revendications précédentes, caractérisé en ce que les moyens de mémoire comprennent un registre à décalage pou- vant être restauré (110) qui est prévu pour être restauré par le signal de restauration.