Brevet FR2587816A1 — publié le 19870327

L'invention concerne un dispositif de sécuri- té pour la protection de données confidentielles mémori- sées. La demande de brevet internationale N WO 84/04614 décrit un dispositif de sécurité pour données qui comprend un conteneur formé d'une matière cassante, telle qu'un verre précontraint, et qui compor- te un processeur de données, un dispositif à mémoire vive volatile du type CMOS pour l'enregistrement de données de code de chiffrage, et une batterie formant l'alimentation en énergie du dispositif a mémoire. Le conteneur comprend un bottier et un couvercle. La batterie est connectée au dispositif à mémoire par un conducteur d'alimentation en énergie formé en une configuration sinueuse sur les surfaces intérieures du bottier et du couvercle, les parties du conducteur de l'alimentation en énergie situées sur le bottier et sur le couvercle étant connectées par des paires de contacts aux faces de liaison entre le bottier et le couvercle. Le conducteur est constitué d'un film métallique mince formé par évaporation. La configuration du conducteur d'alimentation en énergie est bifilaire et les parties du conducteur sont intercalées avec des conducteurs supplémentaires sur les surfaces inté- rieures du bottier et du couvercle, lesquels conducteurs supplémentaires sont à la terre ou connectés à une source de tension. Ainsi, si le conducteur d'alimentation en énergie est interrompu ou connecté à l'un des conduc- teurs supplémentaires, l'alimentation en énergie de la mémoire vive volatile est si touchée que les données contenues dans cette mémoire sont détruites. Le disposi- tif connu a pour inconvénient de présenter un niveau de sécurité relativement bas, car la largeur du conduc- teur d'alimentation en énergie formé sur le boîtier doit être maintenue à une valeur suffisamment grande pour permettre une alimentation en énergie appropriée du dispositif à mémoire. Ces conducteurs relativement larges sont sujets au risque de pénétration. Par exemple, il est possible de former un trou d'un diamètre assez petit pour maintenir un passage conducteur dans un conducteur d'alimentation relativement large, tout en permettant un accès non autorisé au dispositif à mémoire en passant par le trou. La demande de brevet de la R.F.A. DOS N 3 023 427 décrit une unité mobile de stockage de données qui comprend plusieurs dispositifs à mémoire à l'intérieur d'un conteneur fermé formé d'un bottier et d'un couvercle. Plusieurs dispositifs sensibles à une pression différentielle, logés dans la matière formant les parois du conteneur, sont connectés à des canaux fermés également ménagés dans les parois du conteneur, de manière que toute tentative de pénétration par effraction dans le conteneur, provoquant une chute de la pression dans les canaux fermés, soit détectée par les dispositifs sensibles à la pression et provoque l'excitation d'un relais produisant un signal d'efface- ment du contenu des dispositifs à mémoire. La matière formant les parois du conteneur renferme également une paire de conducteurs minces qui s'étendent suivant une configuration arbitraire dans le bottier et dans le couvercle et qui sont connectés à une source d'alimen- tation en énergie et au relais. Tout effet de l'extérieur qui rompt l'un de ces conducteurs minces amène également le relais à produire un signal qui efface le contenu des dispositifs à mémoire. Cependant, ce dispositif connu est d'une réalisation complexe et coûteuse, par suite de la présence des canaux fermés et des dispositifs sensibles à la pression. En outre, il est toujours possible de former un trou de faible diamètre jusqu'à l'intérieur du conteneur sans rompre l'un quelconque des deux conducteurs minces. Par conséquent, le degré de sécurité pouvant être obtenu avec cette unité connue est également limité. L'invention a pour objet un dispositif de sécurité pour données dans lequel l'inconvénient précité est éliminé. Ainsi, conformément à l'invention, il est proposé un dispositif de sécurité pour la protection de données confidentielles mémorisées, comprenant un bottier fermé contenant des moyens à mémoire conçus pour stocker des données confidentielles, et des moyens à circuits conducteurs formés en une configuration sinusoïdale sur toute la surface intérieure du bottier, caractérisé en ce que le bottier contient un circuit de détection de viol qui est couplé auxdits moyens àcircuits conducteurs et aux moyens à mémoire, et qui comprend des moyens de génération d'un signal de restauration destinés à générer un signal de restauration pour effacer le contenu des moyens à mémoire en cas d'interruption des moyens à circuits conducteurs due à une tentative de pénétration dans le bottier. Les moyens à circuits conducteurs comprennent avantageusement des premier et second circuits conduc- teurs sensiblement parallèles formés sur la surface intérieure du bottier. On appréciera que cette caracté- ristique offre un avantage supplémentaire sur le dispo- sitif de sécurité de données décrit dans la demande de brevet international précitée N WO 84/04614, avantage selon lequel la formation d'un trou de petit diamètre à travers l'un des conducteurs supplémentaires à la terre ou alimentés, intercalés avec les conducteurs d'alimentation en énergie, n'affecte évidemment pas l'alimentation en énergie de la mémoire vive volatile, même si le trou interrompt complètement la continuité électrique du conducteur supplémentaire. Grâce à cet agencement de la forme préférée, l'interruption de l'un des premier et second circuits conducteurs provoque la production d'un signal de restauration qui efface le contenu des moyens à mémoire. On appréciera que le présent mémoire fait appel aux techniques de la technologie des films minces et de la technologie des films épais. Ainsi qu'il est bien connu en électronique, la première est une technolo- gie dans laquelle un film mince, d'une épaisseur pouvant atteindre quelques micromètres, est déposé par des techniques de dépôt de films ou couches minces. L'une de ces techniques consiste à faire tomber goutte à goutte un métal conducteur sur un substrat tournant rapidement. D'autres techniques pour former des films minces sont l'évaporation sous vide et la pulvérisation cathodique. Un tel film mince déposé est ensuite gravé suivant une configuration ou un dessin souhaité. La technologie des films minces est à opposer à la technolo- gie des films épais dans laquelle une pâte est déposée par des techniques de dépôt de films épais, telle que la sérigraphie, puis cuite, c'est-àdire chauffée à une température suffisamment élevée pour que la pâte déposée durcisse, afin qu'il se forme un film relative- ment épais, d'une épaisseur de l'ordre de 10 micromètres à quelques dizaines de micromètres. Les deux technologies, à films minces et à films épais, sont bien connues de l'électronicien et il n'est pas considéré nécessaire de les décrire en détail. Une forme de réalisation de l'invention sera à présent décrite à titre d'exemple en référence aux dessins annexés, sur lesquels: - la figure 1 est une vue d'un dispositif de sécurité conforme à l'invention; - la figure 2 est une vue en perspective éclatée du dispositif de sécurité montré sur la figu- re 1; - la figure 3 est une vue schématique à échelle agrandie de deux segments de circuits conducteurs formés sur la surface intérieure de la plaque de base du dispositif de sécurité montré sur la figure 1; - la figure 4 est une vue schématique a échelle agrandie de deux segments de circuits conducteurs formés sur la surface intérieure de la plaque supérieure du dispositif de sécurité montré sur la figure 1; - la. figure 5 est une vue schématique à échelle agrandie de deux segments de circuits conducteurs formés sur la surface intérieure de l'une des plaques latérales du dispositif de sécurité montré sur la figu- re 1; - la figure 6 est une vue schématique qui comprend la façon dont les interconnexions entre les segments de circuits conducteurs formés sur les surfaces intérieures respectives des six plaques constituant le bottier du dispositif de sécurité de la figure 1 sont réalisées; - la figure 7 est une vue en bout à échelle agrandie de l'intérieur du dispositif de sécurité de la figure 1, suivant la ligne 7-7 de la figure 1, la plaque latérale avant étant retirée; 6 - - la figure 8 est une vue en perspective éclatée montrant la construction de l'un des dispositifs d'interconnexion; - la figure 9 montre la manière dont les segments de circuits conducteurs sur les surfaces inté- rieures des six plaques sont interconnectés pour former deux circuits conducteurs complets; - la figure 10 est un schéma simplifié du circuit électronique situé à l'intérieur du dispositif de sécurité représenté sur la figure 1; et - la figure 11 est un schéma simplifié du circuit de détection de viol de la figure 9. En référence d'abord aux figures 1 et 2, un dispositif 10 de sécurité selon l'invention comprend un bottier 11 formé d'une plaque supérieure P1, de plaques latérales P2-P5 et d'une plaque de base P6. Les six plaques P1-P6 sont avantageusement réalisées en une matière céramique, car une telle matière oppose une grande résistance aux attaques chimiques.'Le disposi- tif 10 de sécurité renferme un circuit électronique (non représenté sur les figures 1 et 2), connecté par des voies conductrices 12 à des zones terminales 14 prévues sur des parties extrêmes 16 de la plaque de base P6. Les zones terminales 14 sont en contact avec des broches conductrices respectives d'entrée-sortie (non représentées), d'une manière classique, afin de permettre l'établissement de connexions avec des circuits extérieurs par montage du dispositif 10 de sécurité sur une plaquette à circuit imprimé. On décrira à présent la construction du dispositif 10 en référence aux figures 3 à 7. Chacune des plaques supérieure P1, latérales P2-P5 et inférieure P6 formant le boîtier 11 présente, à sa surface intérieu- re, deux segments de circuits conducteurs formés en une configuration sinueuse, les circuits formés sur les diverses plaques P1-P6 étant connectés entre eux d'une manière qui sera décrite ci-après pour former deux circuits conducteurs complets appelés ici treillis de fil A (WMA) et treillis de fil B (WMB). Ainsi, en référence à la figure 3, la plaque inférieure P6 comporte des segments de circuits conducteurs P6A et P6B; en référence à la figure 4, la plaque supérieure P1 comporte des segments de circuits conducteurs P1A et P1B; et en référence à la figure 5, la plaque latérale P3 compor- te des segments de circuits conducteurs P3A et P3B. Les segments de circuits conducteurs P6A, PFA et P3A. font partie du treillis WMA, et les segments de conduc- teurs P6B, PIB et P3B font partie du treillis WMB. Les segments conducteurs situés sur les plaques latérales P2, P4 et P5 ont une configuration identique à celle montrée pour la plaque latérale P3 sur la figure 5, les plaques latérales P2, P4 et P5 comportant des segments conducteurs P2A, P2B; P4A, P4B; et P5A, P5B. Les segments conducteurs situés sur toutes les plaques latérales ont des configurations identiques. Il convient cependant de noter que les plaques latérales P2 et P4 ont une longueur légèrement inférieure à celle des plaques latérales P3 et P5, les parties extrêmes et 22 étant absentes. Ainsi, lorsque le bottier 11 du dispositif 10 est assemblé, les plaques latérales P2 et P4 sont fixées aux parties extrêmes 20 et 22 des plaques latérales P3 et P5. On appréciera que-la configuration précise des segments conducteurs tels que P1A, PiB,..., P6A, P6B n'est pas importante et, pour des raisons de clarté, n'a été montrée que schématiquement sur les figures 3, 4 et 5. Il suffit d'indiquer que les segments de circuits des treillis de fil WMA et WMB sont placés dans une disposition parallèle, coplanaire et adjacente et forment une configuration sinueuse sur pratiquement toutes les surfaces des plaques respectives P1-P6, à l'exception des parties extrêmes 16 de la plaque de base P6 et des parties extrêmes 20, 22 des plaques latérales P3 et PS. Les configurations sinueuses peuvent être des trajets en méandres qui vont et viennent sur les surfaces des plaques, comme indiqué sur les figures 3, 4 et 5. Les segments conducteurs ont une largeur d'environ 25 micromètres et l'écartement entre segments conducteurs adjacents est également d'environ 25 micro- mètres. En outre, l'épaisseur des conducteurs des segments est avantageusement comprise dans la plage d'environ 0,5 micromètre à environ 3,0 micromètres, et dans la forme préférée de réalisation, elle est d'environ 1,0 micromètre. Si cela est souhaité, les segments conducteurs P1A, P1B,..., P6A, P6B pourraient être revêtus d'une couche isolante. La façon dont les segments conducteurs des plaques respectives sont interconnectés sera à présent décrite en référence à la figure 8 qui montre, en perspective éclatée, un dispositif typique 30 d'inter- c-onnexion reliant entre eux les segments conducteurs P5A et P6A des plaques P5 et P6, respectivement. Le dispositif 30 d'interconnexion interconnecte des plots K9 et K10, un bloc N5 d'interconnexion et un plot S5 de' support. Le plot K9 d'interconnexion comprend un corps céramique non conducteur 32 présentant une aire conductrice 34. Le plot K10 d'interconnexion est d'une réalisation identique à celle du plot K9 et il comprend un corps céramique non conducteur 36 présentant une aire conductrice 38. Le bloc N5 d'interconnexion sert à établir une interconnexion électrique entre les aires conductrices 34 et 38 des plots K9 et K10 d'intercon- nexion, respectivement. Le bloc N5 d'interconnexion peut être réalisé en métal mais, dans la forme préférée de réalisation, il est constitué d'un bloc à six côtés en matière céramique non conductrice, deux c6tés adja- cents, c'est-à-dire des côtés ou faces tournés vers les plots K9 et K10 d'interconnexion, portant des revête- ments conducteurs, afin qu'un trajet conducteur soit établi entre les aires conductrices 34 et 38. Ceci présente l'avantage de rendre compatible le coefficient de dilatation thermique du bloc N5 d'interconnexion avec celui des autres composants céramiques du dispositif de sécurité. Le plot S5 de support est en matière céramique et disposé entre le bloc N5 d'interconnexion et la plaque supérieure P1 (non représentéesur la figure 8) lorsque le bottier 11 du dispositif 10 de sécurité est assemblé. Un point A17 d'interconnexion est formé par liaison d'une première extrémité d'un fil conducteur 44 avec le segment conducteur P6A sur la plaque P6. L'autre extrémité du fil 44 forme un point d'intercon- nexion A18 par liaison sur l'aire conductrice 34. Un point A20 d'interconnexion est formé par liaison d'une extrémité d'un fil 46 sur le segment conducteur P5A de la plaque PS. L'autre extrémité du fil 46 forme un point d'interconnexion A19 par liaison sur l'aire conductrice 38. Le dispositif 30 d'interconnexion est assem- blé par liaison des plots d'interconnexion K9, K10 avec les plaques respectives P6, P5, à l'aide d'un époxy non conducteur, et liaison du bloc d'interconnexion N5 avec les aires conductrices 34 et -38 à l'aide d'un époxy conducteur. Le bloc d'interconnexion N5 est égale- ment lié au plot S5 de support par un époxy non conduc- teur. Les plots K9 et K10 d'interconnexion sont liés par un époxy non conducteur à des aires 48 et 50 des plaques respectives P6 et PS. On peut utiliser des matières de liaison autres qu'un époxy. Il convient de noter que les zones ou aires 48 et 50 recouvrent des zones des segments conducteurs coplanaires sinueux P6A, P5A, P6B, P5B, bien que les segments conducteurs P6B, P5B ne soient pas montrés sur la figure 8 pour des raisons de clarté. On appréciera que, dans cet agencement, le dispositif d'interconnexion 30 offre un très haut degré de sécurité contre toute tentative non autorisée pour pénétrer par effraction dans le bottier 11 du dispositif 10 de sécurité, au voisinage d'un dispositif d'interconnexion tel que le dispositif 30. La figure 6, en particulier, montre schémati- quement les surfaces intérieures des six plaques P1- P6 du bottier 11. Dans l'état assemblé, les bords 60, 62 de la plaque supérieure recouvrent les limites inté- rieures 64, 66, respectivement, des parties extrêmes 16 de la plaque de base P6. Pour plus de clarté, les segments conducteurs P1A-P6A et P1B-P6B ne sont pas montrés sur la figure 6. La configuration des treillis des fils WMA, WMB tels que formés sur les six plaques P1-P6 de façon à constituer des configurations de circuits sinueux sur la totalité de la surface intérieure du bottier 11, apparaîtra clairement en référence à la figure 6 considérée conjointement avec la figure 9 qui montre la toile de fil WMA formée entre des bornes A et C et la toile de fil WMB formée entre des bornes B et D. Plus en détail, la toile de fil WMA est reliée à un point d'interconnexion Ai (figures 6 et 9) puis, par l'intermédiaire d'un fil conducteur 70, à un point d'interconnexion A2 situé sur le plot d'inter- connexion K1. Le fil conducteur 70 est lié et connecté d'une manière similaire à celle décrite ci-dessus pour le fil 44 de la figure 8. Pour plus de clarté, les aires conductrices des plots d'interconnexion tels que 1 1 K1, sur lesquelles les interconnexions sont réalisées, ne sont pas montrées particulièrement sur la figure 6. Le circuit part du plot K1 -d'interconnexion et passe par le bloc N1 d'interconnexion (montré schématiquement sur la figure 6 sous la forme de deux points sombres sur les plots d'interconnexion K1 et K2, respectivement), le plot d'interconnexion K2, le point d'interconnexion A3, un fil conducteur lié 72 et un point d'interconnexion A4 qui est relié au segment conducteur P3A (non montré sur la figure 6) porté par la plaque P3. Le plot de support S1 est représenté schématiquement par une zone hachurée sur la plaque P1. Sur la figure 9, les lignes en zigzag, telles que la ligne en zigzag comprise entre les points d'interconnexion A5 et A6, représentent des fils conducteurs liés, similaires aux fils conduc- teurs liés 70 et 72. En suivant la séquence indiquée pour le treillis WMA sur la figure 9, on voit que le treillis de fil WMA comprend des segments conducteurs sinueux P3A, P1A, P2A, P6A et P5A sur les plaques P3, P1, P2, P6 et P5, successivement, une voie conductrice d'interconnexion P1AL entre les points d'interconnexion A24 et A25 (voir figure 4) sur la plaque P1 et un segment conducteur sinueux P4A sur la plaque P4. La position physique des plots d'interconnexion K1 - K16 et des blocs d'interconnexion N1-N8 apparait clairement sur la figure 6 qui montre également les positions des plots de support S1-S8 pour les blocs d'interconnexion N1-N8. Les plots d'interconnexion K1-K16 sont tous d'une réalisation identique à celle des plots d'inter- connexion K9 et K10 décrits ci-dessus en référence à la figure 8. La configuration du treillis de fil WMB est identique à celle venant d'être décrite pour le treillis de fil WMA. Ainsi, le circuit partant de la borne B est relié au point d'interconnexion B1 (figures 6 et 9) et prolongé par un fil conducteur 74 lié au point d'interconnexion B2 situé sur un plot d'intercon- nexion L1. Le circuit part du plot d'interconnexion L1 par l'intermédiaire d'un bloc d'interconnexion Q1 (représenté schématiquement par deux points sombres sur les plots d'interconnexion L1 et L2, respectivement) et se poursuit par le plot d'interconnexion L2, le point d'interconnexion B3, un fil conducteur 73 et un point d'interconnexion B4 qui est connecté au segment conducteur P3B (non représenté sur la figure 6). Le plot de support T1 est représenté schématiquement par une zone hachurée sur la plaque P1. En suivant la séquen- ce montrée pour le treillis WMB sur la figure 9, on voit que le treillis de fil WMB comprend des segments conducteurs sinueux P3B, PIB, P2B, P6B et P5B sur les plaques Pi, Pl, P2, P6 et P5, successivement, une voie conductrice d'interconnexion P1BL entre les points d'interconnexion B24 et B25 sur la plaque P1 (voir figure 4) et un segment conducteur sinueux P4B sur la plaque P4. La position physique des plots d'intercon- nexion L1-L16 et des blocs d'interconnexion Q1-Q8 appa- raIt clairement sur la figure 6 qui montre également la position des plots de support T1-T8 pour les blocs d'interconnexion Ql-Q8. En se référant à présent en particulier à la figure 7, on y voit représentée une vue extrême de l'intérieur du dispositif de sécurité 10 à l'état assemblé. Des plots céramiques 80, montés sur la plaque de base P6, supportent une plaque céramique 82 sur laquelle est monté un circuit électronique indiqué globalement par la référence 84. La position de la plaque céramique 82 est indiquée par le rectangleen tireté 83 sur la figure 6. Le circuit électronique 84, figure 7, est connecté par des connexions flexibles classiques 86 à circuits imprimés aux rubans conducteurs 12 et donc aux zones terminales 14. La figure 7 montre égale- ment les blocs d'interconnexion Q4 et Q7, les plots d'interconnexion L7, L8, L13 et L14 montés sur les plaques P2, P6, P1 et P4, respectivement, et les plots de support T4 et T7 montés sur les plaques P1 et P6, respectivement. On notera que les bornes A, C, B et D (figure 9) sont incorporées dans le circuit électroni- que 84, bien que cela ne soit pas montré spécifiquement sur la figure 7. La façon dont le dispositif 10 de sécurité est fabriqué sera à présent brièvement décrite. Les plaques P1-P6 sont préparées de la manière suivante, par la mise en oeuvre de techniques connues dans la technologie des films minces. Tout d'abord, un film mince conducteur est déposé sur une surface principale de chacune des plaques céramiques P1-P6. Dans la forme préférée de réalisation, une mince couche de nickel est initialement déposée, suivie d'une mince couche d'or qui la recouvre. Le dépôt de ces couches minces est classique dans la technique et peut être effectué, par exemple, par l'application goutte à goutte de métal fondu sur un substrat tournant à grande vitesse. Cepen- dant, d'autres techniques classiques de dépôt de films minces peuvent être utilisées. L'épaisseur du mince film conducteur doit être comprise dans la plage d'envi- ron 0,5 micromètre à environ 3,0 micromètres et elle est avantageusement d'environ 1,0 micromètre. Ensuite, les minces films conducteurs déposés sont gravés par des techniques classiques de gravure à sec ou par voie humide afin que l'on forme les configurations de conducteurs souhaités, comprenant les segments conduc- teurs en méandres P1A - P6A, P1B-P6B. La largeur des segments conducteurs est avantageusement d'environ micromètres et l'écartement des segments conducteurs adjacents des treillis de fils WMA et WMB est également d'environ 25 micromètres, bien qu'une largeur et un écartement des segments conducteurs, aussi faibles qu'environ 10 micromètres, soient possibles. Les plaques sont à présent coupées aux dimensions correctes. Les plots céramiques Kl-K16 et L1-L16 d'interconnexion, les plots céramiques S1-S8, T1-T8 de support et les blocs d'interconnexion N1-N8, A1-A8 sont produits. Les aires conductrices telles que 34, 38 (figure 8) des plots d'interconnexion K1-K8, L1-L8 et les revête- ments conducteurs appliqués sur deux faces adjacentes de chacun des blocs d'interconnexion N1-N8, Q1-Q8 sont ensuite formés par des techniques classiques de dépôt de films épais. Les plots céramiques d'interconnexion K1-K16, L1-L16 et les plots de support S1-S8, T1-T8 sont ensuite liés aux plaques P1-P6 aux emplacements souhaités, à l'aide d'un époxy non conducteur. Puis les plots d'interconnexion K1-K16, L1-L16 sont connectés aux points d'interconnexion appropriés sur les plaques P1-P6 par liaison en place de fils conducteurs, tels que les fils 44, 46 montrés sur la figure 8. La plaque céramique 82 (figure 7) sur laquelle est monté le circuit électronique 84 est ensuite montée sur la plaque de base P6 au moyen des plots céramiques 80 de support. Les plaques latérales P2-P5 sont ensuite fixées à la plaque supérieure P1, à l'aide d'un époxy non conducteur, les blocs d'interconnexion N1-N8, Q1Q8 étant fixés aux emplacements souhaités sur les plaques supérieure et latérales P1-PS. L'ensemble constitué des plaques P1-P5 est ensuite lié à la plaque de base P6 pour former le dispositif complet 10. On appréciera que, étant donné que les segments conducteurs des treillis de fil WMA et WMB sont coplanaires sur chacune des plaques respectives P1P6, ils peuvent être aisément formés simultanément par les simples opérations de dépôt et de gravure de films minces indiquées ci-dessus. On décrira à présent plus en détail, en regard de la figure 10, le circuit électronique 84 montré sur la figure 7. Le circuit électronique 84 comprend un circuit 100 de traitement de données et un circuit 102 de détection de viol. Le circuit 100 de traitement de données peut être utilisé pour effectuer toute opération souhai- tée de traitement de données dans des applications telles que, par exemple, les systèmes électroniques de paiement, des transferts électroniques de fonds,le chiffrage/dé- chiffrage de données, la vérification de numéros person- nels d'identification, l'émission/réception de données, la commande d'accès et les -opérations bancaires à domicile. Le circuit 100 de traitement de données com- prend un processeur 103 destiné à commander sélectivement le fonctionnement du circuit électronique 84 en réponse à des données et des instructions d'entrée, un circuit 104 de synchronisation et de commande destiné à commander les opérations effectuées par le processeur 103, une mémoire morte programmable 106 destinée à enregis- trer le programme de logiciel à exécuter par le proces- seur 103, une mémoire vive 108 destinée à réaliser un enregistrement temporaire en mémoire, une mémoire volatile 110 destinée à effectuer un enregistrement permanent des données les plus confidentielles ou des données de sécurité telles qu'un code d'enregistrement de code (CEC) (expliqué ci-après), un générateur 112 de nombres aléatoires et une unité 114 d'entrée/sortie (E/S).. Un bus 116 de données, de commande et d'a- dresse, un bus bidirectionnel E/S 118 et des lignes E/S 120 et 122 sont couplés au processeur 103, au circuit 104 de synchronisation et de commande, à la mémoire morte programmable 106, à la mémoire vive 108et à l'unité E/S 114 pour permettre au circuit 100 de traitement de données d'effectuer ses opérations de traitement de données. Des données peuvent être transmises au processeur 103 ou à partir de celui-ci par le bus bi- directionnel E/S 118 et peuvent être transmises à l'unité E/S 114, ou peuvent en provenir, par l'intermédiaire des lignes E/S 120 et 122. Les extrémités éloignées du bus E/S 118 et des lignes E/S 120 et 122 peuvent être cou- plées sélectivement, par exemple, à un autre processeur de données (non représenté), un ordinateur principal (non représenté) et un périphérique (tel qu'un clavier à touches, non représenté) par l'intermédiaire des bornes 14 (figure 1) afin de permettre au circuit 100 de traitement de données d'effectuer ses opérations préalablement choisies. L'énergie pour faire fonctionner le circuit électronique 84 est avantageusement fournie par des sources extérieures (non représentées) telles que des alimentations en énergie et des batteries, connectées à certaines, préalablement choisies, des zones terminales 14 (figure 1). Un sous-programme d'initialisation, contenu dans le programme de logiciel enregistré dans la mémoire morte programmable 106, est exécuté dans un mode spécial de fonctionnement commandé par une personne autorisée. Ce sous-programme d'initialisation ne peut avantageuse- ment être exécuté qu'une fois après que le dispositif de sécurité (figure 1) a été complètement assemblé. A des fins de sécurité supplémentaire, il est avantageux que la mémoire volatile 110 soit, par exemple, une mémoire restaurable, telle qu'une mémoire à registre à décalage à 64 bits. Pendant l'exécution d'un sous-programme d'initialisation, le processeur 103 applique un signal d'initialisation au générateur 112 de nombres aléatoires afin de permettre à ce générateur 112 de produire un nombre aléatoire qui est enregistré dans la mémoire sous la forme d'un exemple de séquence de 64 bits aléatoires. Cette séquence de 64 bits aléatoires est le code CEC (code d'enregistrement de code) qui est la donnée la plus confidentielle ou la plus assurée contenue dans le circuit 100 de traitement de données. le code CEC est utilisé pour le chiffrage de codes devant être introduitsdans le dispositif 10 de sécurité pour être enregistrés dans la mémoire vive 108. Ces codes sont ensuite utilisés dans des opérations de chiffrage de données. Le mode précis dans lequel le code CEC est utilisé n'est pas d'une grande importance pour la présente invention et il ne sera donc pas décrit ici. Il convient cependant de noter que la mémoire restaurable 110 enregistre le code CEC, que le contenu de la mémoire 110 ne peut pas être altéré (si le disposi- tif 10 de sécurité a été programmé pour effectuer une seule fois le programme d'initialisation), que le code CEC n'est jamais émis vers l'extérieur à partir du dispositif 10 de sécurité, et qu'à des fins de sécurité, il faut empêcher d'accéder de l'extérieur aux contenus CEC de la mémoire 110 par divers moyens. Le circuit 102 de détection de viol est incorporé dans le circuit électronique 84 afin de détrui- re de façon particulière et active le code CEC contenu dans la mémoire restaurable 110 en cas de toute tentative de pénétration dans le bottier 11 du dispositif 10 de sécurité pour accéder au code CEC enregistré dans la mémoire 79. On doit comprendre que si le code CEC est détruit, toutes données ou tous codes chiffrés, enregistrés dans la mémoire vive 108 deviennent dénués de sens ou d'utilité. On décrit ci-dessous deux façons principales de procéder pour tenter d'accéder au code CEC enregistré dans la mémoire 110 restaurable, ainsi que la réaction du circuit 102 de détection de viol à de telles tentatives. Tout d'abord, on peut tenter de pénétrer dans le bottier céramique 11 du dispositif 10 de sécurité en perçant ou fracturant le boîtier 11. Pour se protéger d'une telle possibilité, on connecte le treillis de fil A (WMA) de la figure 9 entre une tension d'alimenta- tion VC et un circuit de détection 124, tandis que l'on connecte le treillis de fil B (WMB) de la figure 9 entre un potentiel de référence tel que la masse et un circuit 126 de détection. Il est rappelé que les treillis WMA et WMB sont des circuits conducteurs différents formés sur les surfaces intérieures des plaques P1-P6 constituant le bottier 11. Une tentative de perçage ou de fracture du bottier 11, qui détériore l'un ou l'autre des treillis WMA et WMB ou les deux, est aisément détectée. Si le treillis WMA est rompu ou mis en court-circuit sur le treillis WMB ou sur la masse lors d'une telle tentative, le circuit 124 de détection produit un signal de basse tension en un point 128. De façon similaire, si le treillis WMB est rompu ou court-circuité sur le treillis WMA ou sur la tension VC lors d'une telle tentative, le circuit de détection 126 produit un signal de basse tension au point 128. En réponse à l'application d'un signal de basse tension au point 128, un détecteur 130 de basse tension génère un signal de restauration sur une ligne 131 afin de restaurer la mémoire 110 et d'effa- cer ou détruire ainsi activement le code CEC présent dans la mémoire restaurable 110. En raison de la faible largeur et du faible écartement des segments conducteurs portés par les plaques P1-P6, toute possibilité est exclue de former un trou de très faible diamètre sans rompre la continuité d'au moins l'un des treillis de fil WMA et WMB. La 19. -_ formation d'un tel trou de faible diamètre pourrait offrir la possibilité d'une brèche de sécurité, par exemple en permettant à un fil très fin d'être inséré dans le dispositif 10 pour'établir un contact électrique avec le circuitélectronique 84. On sait qu'il est possible de conserver des données dans des cellules CMOS statiques d'une mémoire non alimentée (absence de la tension d'alimenta- tion ou de la tension de batterie) si ces cellules sont initialement gelées au-dessous de -90 C avant que l'énergie soit éliminée de la mémoire 110. Si ceci était réalisé, il serait possible de pénétrer ensuite à force dans le dispositif 10 de sécurité et de lire le contenu "congelé" de la mémoire 110. Un capteur 132 de basse température est donc prévu dans le circuit 102 de détection de viol afin de protéger le dispositif 10 de sécurité (figure 1) du viol décrit ci-dessus à des températures extrême- ment basses. Le capteur 132 est également connecté au point 128. Il est conçu de manière que, lorsque la température à l'intérieur du bottier 11 (figure 1) descend, par exemple, à -25 C, il produise et applique un signal de basse tension au point 128. Ce signal de basse tension appliqué par le capteur 132 au point 128 provoque également la génération, par le détecteur de basse tension, d'un signal de restauration sur la ligne 131 afin de restaurer la mémoire 110 pour effacer ou détruire activement le code CEC présent dans la mémoire 110. On décrira à présent plus en détail le circuit 102 de détection de viol en référence à la figure 11. Le circuit 102 de détection de viol comprend essentiellement quatre parties. Une première partie comprend le treillis de fil WMA et le circuit de détec- tion 124. Une deuxième partie comprend le treillis de fil WMB et le circuit de détection 126. Une troisième partie comprend le capteur 132 de basse température. Les première, deuxième et troisième parties sont toutes connectées à une sortie commune, en un point 128 qui est lui-même connecté à la quatrième partie comprenant le détecteur 130 de basse tension. En conséquence, si l'une quelconque des première, deuxième et troisième parties détecte une tentative quelconque d'accéder au code CEC contenu dans la mémoire 110 (figure 10), un signal de sortie de basse tension est développé au point 128. Comme mentionné précédemment, un tel signal bas de sortie au point 128 a pour effet sur le détecteur 130 de basse tension de lui faire restaurer activement la mémoire 110 pour détruire le code CEC qu'elle contient. Dans la première partie, la broche C du treillis WMA est couplée au circuit 124 de détection. Une tension d'alimentation haute ou positive Vc est ap- pliquée à la broche A du treillis WMA et à chacun des inverseurs en cascade 134 et 136 du circuit 124 de détection. Aux fins de la présente description, on suppose que VC = +4,5 volts. Une résistance 138 d'un mégohm est montée entre la broche C du treillis WMA et un potentiel bas de référence tel que la masse. La broche C est également connectée à l'entrée de l'in- verseur 134. La sortie de l'inverseur 136 est appliquée par une résistance 140 de 120 kilohms au point 128. Lorsque le treillis WMA n'est pas détédioré (ni rompu ni court-circuité sur la masse ou sur le treillis WMB), l'entrée de l'inverseur 134 est haute, la sortie de l'inverseur 134 est basse et la sortie de l'inverseur 136 est haute. Dans la deuxième partie, la broche D du treillis WMB est couplée au circuit de détection 126 et la broche B du treillis WMB est connectée au potentiel bas de référence ou à la masse. Une résistance 142 d'un mégohm est montée entre la broche D du treillis WMB et VC. La tension d'alimentation VC est également ap- pliquée à des inverseurs en cascade 144, 146 et 148. La broche D est également connectée à l'entrée de l'in- verseur 144 dont la sortie est elle-même connectée à l'entrée de l'inverseur 146. La sortie de l'inverseur 146 est alors connectée à l'entrée de l'inverseur 148. La sortie de l'inverseur 148 est appliquée par une résistance 150 de 120 kilohms au point 128. Une résistan- ce 152 de 30 kilohms est montée entre le point 128 et la masse afin de développer une sortie commune pour les circuits de détection 124 et 126, ainsi que pour le capteur 132 de basse température (comme expliqué ciaprès). Lorsque le treillis WMB n'est pas détérioré (ni rompu ni courtcircuité sur VC ou sur le treillis WMA), l'entrée de l'inverseur 144 est basse, la sortie de l'inverseur 146 est basse et la sortie de l'inverseur 148 est haute. La partie 3 comprend le capteur 132 de basse température (figure 10). Le capteur 132 de basse tempéra- ture comprend: un circuit en pont 154 à coefficient négatif de température (CNT) qui comporte des résistan- ces 156 et 158 montées en série entre VC et la masse, et des résistances 160 et 162 montées en série entre Vc et la masse; un amplificateur opérationnel 164 dont l'en- trée de non-inversion (+) est connectée à la jonction des résistances 156 et 158 et dont l'entrée d'inversion (-) est connectée à la jonction des résistances 160 et 162; un inverseur 166 destiné à inverser le signal de sortie de l'amplificateur opérationnel 164 et une diode 168 montée entre la sortie de l'inverseur 166 et le point 128. Les résistances 156 et 162 peuvent avoir une valeur de 800 kilohms, alors que les résistances 158 et 160 peuvent avoir une valeur de 68 kilohms et des coefficients négatifs de température (CNT). Dans ce montage, le circuit en pont 154 est déséquilibré jusqu'à ce que la température à l'intérieur du bottier atteigne environ -25 C. On peut voir aisément que, lorsque le circuit en pont 154 est déséquilibré, l'amplificateur opérationnel 164 produit un signal de sortie bas qui est inversé par l'inverseur 166 afin de polariser en sens inverse la diode 168. Par conséquent, lorsque la température à l'intérieur du bottier 11 (figure 1) est au-dessus de -25 C, le capteur 132 de basse température est en fait déconnecté du point 128 par la diode 168 en polarisation inverse. La partie 4 comprend un détecteur 130 de basse tension connecté au point 128 afin de développer un signal de restauration REST sur la ligne 131 lorsque le potentiel aux bornes de la résistance 152 est au- dessous d'une tension de seuil préalablement choisie, par exemple de +1,15 volt, quand VC =+4,5 volts, un con- densateur 170 monté entre le point 128 et la masse et destiné à maintenir le potentiel d'entrée (tension développée aux bornes de la résistance 152) du détecteur 130 pendant un temps suffisant pour permettre au détec- teur 130 de générer un signal REST lorsque le potentiel aux bornes de la résistance 152 tombe au-dessous de +1,15 volt. Le détecteur 130 de basse tension peut être un comparateur de tension qui développe un signal de sortie bas lorsque la tension aux bornes de la résis- * tance 152 tombe au-dessous d'un potentiel de référence interne de +1,15 volt. On décrira à présent diverses conditions. (1) Lorsqu'aucune tentative n'est réalisée pour congeler et/ou pénétrer dans le bottier 11 afin d'accéder au code CEC contenu dans la mémoire restaurable (figure 10), la température régnant dans le boîtier 11 (figure 1) est assez élevée pour ne pas déclencher le capteur 132 de basse température et les deux treillis WMA et WMB ne sont pas endommagés. En conséquence, les sorties des deux inverseurs 136 et 148 sont hautes. La tension développée aux bornes de la résistance 152 (environ +1,5 volt) est donc supérieure au seuil de 1,15 volt du détecteur 130 de basse tension. Le détecteur 130 de basse tension ne développe donc pas le signal REST. (2) Lorsque le treillis WMA est rompu ou court-circuité sur la masse ou sur le treillis WMB, la broche C passe à un potentiel bas, amenant au niveau bas l'entrée de l'inverseur 134. Cette entrée basse est inversée pour donner un signal haut, par l'inverseur 134. Le signal haut (+4,5 volts) de l'inverseur 134 est transformé en un signal bas (0 volt) par l'inverseur 136. On suppose que le treillis WMB n'est pas rompu à cet instant et que l'inverseur 148 développe donc un signal de sortie haut (+ 4,5 volts). En conséquence, un diviseur de tension, comprenant les résistances , 150 et 152, fait chuter le point 128 à environ +0,9 volt. Etant donné que la valeur de +0,9 volt est inférieure au seuil de +1,15 volt du détecteur 130 de basse tension, ce détecteur 130 produit le signal REST pour restaurer activement la mémoire 110 (figure ). (3) Lorsque le treillis WMB est rompu ou court-circuité sur VC ou sur le treillis WMA, la broche D devient haute (+4,5 volts). Ce signal haut est inversé par l'inverseur 144. Le signal bas (0 volt) de l'inver- seur 144 est lui-même inversé par l'inverseur 146. Le signal haut de l'inverseur 146 est inversé par l'in- verseur 148. On suppose que le treillis WMA n'est pas rompu à cet instant et que l'inverseur 136 développe donc un signal de sortie haut (+4,5 volts). Le diviseur de tension comprenant les résistances 140, 150 et 152 fait donc chuter le point 128 à environ +0,9 volt. Ceci provoque alors la génération, par le détecteur de basse tension, du signal REST pour restaurer la mémoire 110 (figure 10). Si les deux treillis WMA et WHB sont rompus, les inverseurs 136 et 148 passent tous les deux au niveau bas, provoquant la chute vers 0 volt de la charge aux bornes du condensateur 170. Cependant, dès que la tension aux bornes du condensateur 170 descend au- dessous de +1,15 volt, le détecteur 130 de basse tension produit le signal REST sur la ligne 131. (4) Si la tension VC tombe au-dessous de +3,5 volts, la tension aux bornes du condensateur 170 tombe au-dessous de +1,15 volt. Ceci provoque de nouveau la génération, par le détecteur 130 de basse tension, du signal REST sur la ligne 131. (5) Lorsque la température régnant dans le bottier tombe au-dessous de 25'C, le circuit en pont 154 du capteur 132 de basse température devient équilibré ou bien déséquilibré en sens opposé. Dans tous les cas, l'amplificateur opérationnel 164 produit un signal de sortie haut qui est inversé par l'inverseur 166. Le signal de sortie bas (0 volt) de l'inverseur 166 polarise dans le sens passant la diode 168, faisant chuter vers 0 volt le point 128. Ceci a pour effet de faire chuter vers 0 volt la charge aux bornes du condensateur 170. Cependant, dès que la tension aux bornes du condensateur 170 tombe au-dessous de +1,15 volt, le détecteur 130 de basse tension produit le signal REST sur la ligne 131 de façon à effacer la mémoire 110. L'invention propose donc un dispositif de sécurité 10 pour le stockage sûr de données confiden- tielles. Elle assure la protection du dispositif 10 contre toute attaque chimique, toute attaque physique et tout viol à une température extrêmement basse. Le bottier en céramique ne peut pas être pénétré par des substances chimiques, car celles-ci ne dissolvent pas la céramique. Toute attaque physique par découpage ou perçage a pour effet de rompre ou de briser le bottier 11 en céramique et donc de rompre ou de détériorer au moins l'un des deux circuits conducteurs WMA et WMB. La pénétration du bottier 11 par la formation d'un trou de très petit diamètre a pour résultat l'inter- ruption d'au moins l'un des treillis de fil WMA et WMB. En outre, lorsque l'on tente d'utiliser un fluide conducteur pour shunter les interruptions des treillis de fil, il en résulte la formation d'un court-circuit. entre les treillis de fil WMA et WMB. Le circuit 102 de détection de viol restaure alors activement la mémoire restaurable 110 afin de détruire les données confiden- tielles qu'elle contient. De façon similaire, toute tentative pour violer le dispositif 10 de sécurité sous une température extrêmement basse amène également le circuit 102 de détection de viol à restaurer active- ment la mémoire 110. Il va de soi que de nombreuses modifications peuvent être apportéesau dispositif décrit et représenté sans sortir du cadre l'invention. Par exemple, si, dans une application particulière, il était envisagé que l'utilisation d'un fluide conducteur pour shunter des interruptions du circuit conducteur ne constituait pas une possibilité pratique, les deux treillis de fil WMA et WMB pourraient alors être remplacés par un seul treillis de fil de configuration sinueuse, formé sur la totalité de la surface intérieure du boú- tier 11, par l'interconnexion des segments conducteurs sinueux situés sur les parties P1-P6, de la manière décrite précédemment. On appréciera qu'en formant les treillis de fil WMA et WMB par l'utilisation de la technologie des films minces, les segments conducteurs à films minces constituant les treillis de fil WMA et WMB peuvent avoir une largeur et un écartement très étroits, amélio- rant ainsi la sécurité du dispositif. Cependant, si un degré de sécurité quelque peu plus faible s'avérait acceptable dans une application particulière, il serait possible de procéder à une modification telle que les segments conducteurs constituant les treillis de fil WMA et WMB puissent être formés par la technologie des films épais, décrits précédemment, à la place de la technologie des films minces. En utilisant la techno- logie des films épais, la largeur et l'écartement préfé- rés des segments conducteurs sont d'environ 300 micromè- tres, avec une épaisseur de film d'environ 10 micromètres. REVENDICATIONS 1. Dispositif de sécurité pour la protection de données confidentielles mémorisées, comprenant un boîtier fermé contenant des moyens à mémoire conçus pour enregistrer des données confidentielles, et des moyens à circuits conducteurs formés en une configura- tion sinueuse sur la totalité de la surface intérieure du boîtier, caractérisé en ce que le boîtier contient un circuit (102) de détection de viol qui est couplé auxdits moyens à circuits conducteurs (WMA, WMB) et auxdits moyens à mémoire (110), et qui comprend un moyen (130) de génération d'un signal de restauration conçu pour produire un signal de restauration destiné à effacer le contenu desdits moyens à mémoire (110) dans le cas d'une interruption desdits moyens à circuits conducteurs (WMA, WMB) résultant d'une tentative de pénétration dans ledit boîtier (11). 2. Dispositif de sécurité selon la revendica- tion 1, caractérisé en ce que les moyens à circuits conducteurs (WMA, WMB) sont formés par un mince film conducteur. 3. Dispositif de sécurité selon l'une des revendications 1 et 2, caractérisé en ce que les moyens à circuits conducteurs comprennent des premier et second circuits conducteurs sensiblement parallèles (WMA, WMB) formés sur ladite surface intérieure du boîtier (11). 4. Dispositif de sécurité selon la revendica- tion 3, caractérisé en ce que ledit bottier (11) comprend plusieurs parties individuelles (P1-P6) reliées entre elles, chaque partie (par exemple P1) comprenant un substrat céramique portant des premier et second segments conducteurs (P1A, P1B), ledit dispositif comprenant des moyens d'interconnexion (30) reliant entre eux les premier et second segments conducteurs respectifs desdites parties individuelles (P1-P6) pour former lesdits premier et second circuits conducteurs (WMA, WMB). 5. Dispositif de sécurité selon la revendica- tion 4, caractérisé en ce que lesdits segments conduc- teurs (par exemple PIA, P1B) sont formes par un film conducteur mince ayant une épaisseur dans la plage d'environ 0,5 micromètre à environ 3,0 micromètres. 6. Dispositif de sécurité selon la revendica- tion 5, caractérisé en ce que la largeur desdits segments conducteurs (par exemple PIA, PIB) est dans la plage d'environ 10 micromètres à environ 25 micromètres et l'écartement de segments conducteurs adjacents (par exemple P1A, P1B) est compris dans la plage d'environ 10 micromètres à environ 25 micromètres. 7. Dispositif de sécurité selon la revendica- tion 6, caractérisé en ce que lesdits moyens d'intercon- nexion (30) comprennent plusieurs dispositifs indivi- duels d'interconnexion comportant chacun: des premier et second éléments non conducteurs (32, 36) portant des première et seconde aires conductrices respectives (34, 38), les premier et second éléments non conducteurs (32, 36) étant montés sur des première et deuxième (P6, P5) desdites parties, des moyens conducteurs (44, 46) interconnectant lesdites première et seconde aires conductrices (34, 38) à des segments conducteurs respec- tifs situés sur lesdites première et deuxième parties (P6, P5), et un élément conducteur (NS) interconnec- tant les première et seconde aires conductrices (34, 38). 8. Dispositif de sécurité selon la revendica- tion 7, caractérisé en ce que ledit élément conducteur comprend un bloc (NS) à plusieurs faces en matière non conductrice et dont deux faces adjacentes portent une matière conductrice. 9. Dispositif de sécurité selon la revendica- tion 3, caractérisé en ce que ledit circuit de détection de viol comprend des premier et second moyens de détec- tion (124, 126) connectés respectivement aux premier et second circuits conducteurs (WMA, WMB) et réagissant à une détérioration des premier et second circuits conducteurs respectifs (WMA, WMB) en produisant des premier et second signaux respectifs de commande, ledit moyen (130) de génération de signal de restauration - étant connecté aux premier et second moyens de détection (124, 126) et étant conçu pour produire ledit signal de restauration en réponse à l'un ou l'autre des premier *et second signaux de commande. 10. Dispositif de sécurité selon la revendi- cation 9, caractérisé en ce que ledit circuit conducteur (WMA) porte une première borne (A) connectée à une alimentation en énergie et audit premier moyen (124) de détection, et une seconde borne (C) connectée, par l'intermédiaire d'une première résistance (138), à un potentiel de référence, et en ce que ledit second circuit conducteur (WMB) comporte une première borne connectée, par l'intermédiaire d'une seconde résistance (142), à ladite alimentation en énergie et audit second moyen (126) de détection, et une seconde borne (B) connectée audit potentiel de référence. 11. Dispositif de sécurité selon l'une des revendications 9 ou 10, caractérisé en ce que le circuit (102) de détection de viol comprend des moyens (132) de détection de température connectés audit moyen (130) de génération d'un signal de restauration et conçus, en réponse à un abaissement de la température à l'intérieur du bottier (11) au-dessous d'un niveau de température prédéterminée, pour produire un troisième signal de commande amenant le moyen (130) de génération d'un signal de restauration à générer ledit signal de restauration. 12. Dispositif de sécurité selon l'une quelconque des revendications précédentes, caractérisé en ce que les moyens à mémoire (110) comprennent un registre à décalage restaurable conçu pour être restauré par ledit signal de restauration.