Brevet FR2751083A1 — publié le 19980116

PROCEDE ET DISPOSITIF POUR QUANTIFIER L'IMPACT DES RAYONNEMENTS COSMIQUES SUR UN EQUIPEMENT ELECTRONIQUE A MEMOIRE La présente invention concerne le domaine des équipements électroniques à mémoire notamment embarqués sur aérodyne. Les mémoires actuelles, de plus en plus denses à cause de l'intégration, sont de plus en plus sensibles aux rayonnements cosmiques et notamment aux neutrons issus principalement de l'activité solaire. Ces neutrons ont une énergie suffisante pour changer l'état d'un ou plusieurs bits de la mémoire. Cette perturbation liée aux neutrons est connue sous le sigle NSEU pour Neutron induced Single Event Upset ou défaillance simple induite par les neutrons. Actuellement ces perturbations se font sentir aux altitudes d'évolution des avions civils, soit environ 10 000 mètres car le flux de particules cosmiques est beaucoup plus important à cette altitude qu'au niveau de la mer. Dans le futur cette agression risque d'être sensible au sol avec l'intégration croissante des mémoires. Géographiquement, il y a aussi des variations dans la quantité de rayonnement cosmique, au niveau des pôles elle est plus importante qu'à l'équateur. Dans le temps, la quantité de rayonnement cosmique varie, notamment en fonction de l'activité solaire. La prise en compte de ces phénomènes est récente et elle risque de contraindre la conception des équipements électroniques à mémoire embarqués et de générer de nouvelles dispositions réglementaires. A ce jour, il existe des composants électroniques à mémoire qui sont insensibles à ces perturbations mais ce sont des composants spécifiques pour les applications spatiales ou nucléaires, extrêmement chers et il est, de ce fait, peu souhaitable de les utiliser dans les équipements électroniques embarqués sur les avions civils. La présente invention concerne donc un procédé et un dispositif pour quantifier l'agression cosmique subie par des équipements électroniques à mémoire notamment embarqués sur aérodyne. Le procédé consiste à tester en écriture et vérification une mémoire volatile, sensible aux rayonnements cosmiques, de capacité mémoire et de sensibilité se rapprochant de celle de l'équipement électronique, - en présence d'une défaillance sur un bit, à déterminer si la défaillance est imputable aux rayonnements cosmiques ou à une panne mémoire plus classique, - à émettre un message de défaillance imputable aux rayonnements cosmiques ou de panne mémoire selon les résultats de la détermination. En présence de la défaillance, le procédé consiste à rechercher au préalable, s'il s'agit d'une première défaillance survenant sur ce bit, - dans la négative à émettre un message de panne mémoire présumée, - dans l'affirmative à enregistrer le contexte de cette première défaillance avant d'en déterminer la cause. Selon ce procédé, la détermination consiste à refaire le même test, sur un ou plusieurs bits précédemment testés incluant le bit défaillant, -si la défaillance subsiste, à émettre un message de panne mémoire, - si la défaillance disparaît: - dans l'hypothèse où plusieurs bits ont été retestés, à émettre un message de défaillance imputable aux rayonnements cosmiques, - dans l'hypothèse où, seul le bit initialement défaillant a été retesté, à effectuer de nouveau le même test sur plusieurs bits précédemment testés incluant le bit initialement défaillant, puis à émettre un message de défaillance imputable aux rayonnements cosmiques si la défaillance disparaît et un message de panne dans le cas contraire. II est possible de considérer comme hors test, une partie de la mémoire qui contient un ou plusieurs bits affectés d'au moins une panne mémoire et d'émettre un message de mise hors test de cette partie de la mémoire. Les messages peuvent être enregistrés sur une mémoire non volatile, insensible aux rayonnements cosmiques, avant de les exploiter. II est également possible d'envoyer les messages sur une ligne numérique en vue de leur exploitation. II est avantageux de dater les défaillances et/ou de comptabiliser la durée de test. La présente invention a aussi pour objet un dispositif pour quantifier l'impact des rayonnements cosmiques sur un équipement électronique à mémoire, ce dispositif comporte: - une mémoire volatile, sensible aux rayonnements cosmiques, de capacité mémoire et de sensibilité proche de celle de l'équipement électronique, - un dispositif séquenceur de test pour tester la mémoire en écriture et vérification, - un dispositif de pilotage et de filtrage qui pilote le dispositif séquenceur de test et qui en présence d'une défaillance sur un bit de la mémoire, détermine si la défaillance est imputable aux rayonnements cosmiques ou à une panne mémoire et émet un message de défaillance imputable aux rayonnements cosmiques ou de panne mémoire selon les résultats de la détermination. D'autres avantages et caractéristiques de l'invention apparaîtront à la lecture de la description suivante, illustrée par les dessins annexés qui représentent: - la figure 1 un exemple schématique du dispositif selon l'invention; - les figures 2 et 3 des variantes du dispositif objet de l'invention. On se réfère à la figure 1. Le dispositif pour quantifier cette agression cosmique objet de l'invention comporte une mémoire MSN volatile, sensible aux rayonnements cosmiques. Cette mémoire est formée de plusieurs parties correspondants chacune à un ou plusieurs mots ou même à un ou plusieurs composants mémoire. Les différentes parties sont symbolisées par des petits rectangles sur les figures Pour que le dispositif selon l'invention soit fiable, il est souhaitable que la mémoire MSN possède une capacité et une sensibilité qui soient significatives ou grandes vis-à-vis de la capacité mémoire de l'équipement électronique embarqué sur l'aérodyne. Cette capacité mémoire correspond essentiellement à celle des calculateurs de l'aérodyne. La mémoire MSN est choisie pour sa sensibilité particulière aux rayonnements cosmiques. Cette sensibilité peut même être favorisée en agissant notamment sur la tension d'alimentation qui lui est appliquée. Cette mémoire MSN est destinée à être testée lorsque l'aérodyne est en vol mais dans le futur ce dispositif pourrait être utilisé au sol. La faible probabilité de survenue d'une défaillance imputable aux rayonnements cosmiques rend nécessaire l'observation de la mémoire MSN sur des durées très longues au cours desquelles d'autres causes de défaillance peuvent avoir une probabilité non négligeable. Le dispositif objet de l'invention propose donc d'identifier les défaillances attribuables aux rayonnements cosmiques et de signaler les autres attribuables à des pannes mémoire et, le cas échéant, de mettre hors test des parties de la mémoire ayant un comportement défaillant ne pouvant pas être attribuable aux rayonnements cosmiques. Un dispositif séquenceur de test DST teste cette mémoire MSN en écriture et en vérification afin de détecter toute différence entre les données inscrites et les données lues. Une différence sur un bit indique une défaillance dont il faut identifier la cause. Le dispositif séquenceur de test DST, qui peut être de type connu, est piloté par un dispositif de pilotage et de filtrage DPIF. Le dispositif de pilotage et de filtrage DPIF est destiné à être relié à un dispositif d'exploitation (non représenté) à qui il fournit des messages sur les caractéristiques et la cause des défaillances détectées. Le dispositif séquenceur de test DST, de manière connue, peut générer pour chaque partie de la mémoire une séquence d'adresses à l'intérieur de l'espace mémoire associée à une séquence de données à écrire dans les cases mémoire correspondant aux adresses générées, suivie d'une séquence de vérification des données inscrites. Si aucune défaillance n'est apparue, le dispositif séquenceur de test DST génère une autre séquence d'adresses associée à une autre séquence de données à écrire puis une autre séquence vérification. Cet enchaînement se poursuit jusqu'à ce que la mémoire soit testée dans sa totalité. Le dispositif de pilotage et de filtrage DPIF coopère avec une mémoire MNV1 non volatile, insensible aux rayonnements cosmiques, destinée à mémoriser le contexte de la première défaillance détectée pour chaque bit lors de l'exécution des tests. Sur l'exemple de la figure 1, cette mémoire MNV1 est interne au dispositif de pilotage et de filtrage DPIF mais elle pourrait être externe. Dès qu'une défaillance est détectée sur un bit par le dispositif séquenceur de test DST, le dispositif de pilotage et de filtrage DPIF vérifie si cette défaillance est la première en utilisant le contenu de la mémoire MNVl. Si la défaillance détectée n'est pas la première, cela signifie que la partie de la mémoire à laquelle appartient le bit erroné est vraisemblablement en panne, cette défaillance n'est donc pas attribuable aux rayonnements cosmiques Un message de panne mémoire présumée est émis par le dispositif de pilotage et de filtrage DPIF vers le dispositif d'exploitation. II est possible de considérer comme hors test la partie de la mémoire contenant ce bit défaillant et dans ce cas, le dispositif de pilotage et de filtrage DPIF émet un message de mise hors test vers le dispositif d'exploitation. Cette mise à l'écart est également enregistrée dans la mémoire MNV1 non volatile. Plus aucun message concernant cette partie ne sera prise en compte. On peut également envisager que la mise à l'écart de la partie n'intervienne qu'ultérieurement, si le taux de défaillance du bit détecté est supérieur à un seuil ou si la partie contenant ce bit est affectée de plusieurs bits défaillants ou présumés tels. Le taux de défaillance correspond au nombre de défaillance par unité de temps. Au moins un compteur C1 peut être prévu pour compter les défaillances de chaque partie. Si la défaillance détectée est la première, le contexte de cette défaillance est mémorisée dans la mémoire MNV1. Le dispositif de pilotage et de filtrage DPIF va ensuite déterminer la cause de cette défaillance. Le dispositif séquenceur de test DST va ré-effectuer le même test sur un ou plusieurs bits précédemment testés incluant le bit défaillant. Les bits retestés sont alors de nouveau inscrits avec les valeurs précédentes, puis vérifiés. Si le bit défaillant est toujours défaillant, cette défaillance n'est pas imputable aux rayonnements cosmiques car les caractéristiques des défaillances engendrées par les rayonnements cosmiques est leur faible probabilité et une répartition aléatoire dans le temps et l'espace. Une telle défaillance affecte de façon soudaine et imprévisible un bit unique de la mémoire MSN. Une défaillance engendrée par les rayonnements cosmiques affectera donc un bit de la mémoire réputé correct au test précédent et ce bit redeviendra correct au cours du test suivant après avoir été corrigé. Un message de panne mémoire concernant la partie contenant ce bit est émis par le dispositif de pilotage et de filtrage DPIF vers le dispositif d'exploitation. La partie défaillante peut également dans cette situation être considérée comme hors test, un message de mise hors test pourra être émis vers le dispositif d'exploitation et le contexte de cette mise hors test pourra être enregistré dans la mémoire non volatile MNV1. Si le bit défaillant ne l'est plus à l'issu du second test, pour pouvoir présumer que la défaillance est imputable aux rayonnements cosmiques, il faut avoir retesté plusieurs bits précédemment testés incluant celui en cause de la même manière qu'au test précédent, c'est à dire avec les mêmes valeurs inscrites et le même ordre. Une opération d'écriture dans une partie de la mémoire risque d'altérer ce qui est inscrit dans une autre partie. La fiabilité du test est accrue si les tests refaits sont calqués sur les premiers. Si le second test n'a été fait que sur le bit détecté défaillant, et qu'à l'issu du second test, la défaillance a disparu, le dispositif de pilotage et de filtrage DPIF ne peut imputer cette défaillance aux rayonnements cosmiques. Le dispositif de pilotage et de filtrage DPIF doit effectuer un test supplémentaire sur plusieurs bits précédemment testés et dans les mêmes conditions pour pouvoir le présumer, si le bit en cause n'est plus défaillant à l'issu du test supplémentaire. Le dispositif de pilotage et de filtrage DPIF émet alors un message de défaillance imputable aux rayonnements cosmiques. Le fait de retester uniquement le bit détecté défaillant permet de repérer rapidement la plupart des pannes mémoire franches (non attribuables aux rayonnements cosmiques). II est avantageux qu'une horloge HO coopère avec le dispositif de pilotage et de filtrage DP IF. Elle permet de dater les défaillances et/ou de mesurer les durées de fonctionnement du dispositif objet de l'invention. Le nombre de défaillances détectées en cours de fonctionnement n'est pas réellement significatif en lui-même, ce qui est significatif c'est le taux de défaillances. Ce taux de défaillance peut entrer dans la décision de mise hors test d'une partie de la mémoire comme on l'a vu précédemment. On pourra, par exemple, utiliser une horloge numérique autonome, alimentée par pile. Un message signalant une défaillance liée aux rayonnements cosmiques émis par le dispositif de pilotage et de filtrage DP1F comportera par exemple le groupe horaire, la partie de la mémoire comportant la défaillance, le bit défaillant, le sens de basculement. Un message signalant une panne d'une partie de la mémoire comportera, par exemple, le groupe horaire, la partie de la mémoire mise en cause, éventuellement le nombre de pannes affectant cette partie si le compteur C1 est prévu. Les enregistrements d'une première défaillance sur un bit et de la mise hors contrôle d'une partie de la mémoire MSN dans la mémoire non volatile MNV1 se font aussi de préférence avec leur date. A la mise sous tension du dispositif destiné à quantifier l'impact des rayonnements cosmiques, lorsque l'aérodyne est en vol par exemple, la mémoire non volatile MNV1 est initialisée, elle enregistre le groupe horaire de mise sous tension car elle acquiert le contexte des premières défaillances détectées et la signalisation de la mise hors contrôle d'une partie de la mémoire. A la mise hors tension du dispositif destiné à quantifier l'impact des rayonnements cosmiques, la mémoire non volatile MNV1 est mise dans un état lui permettant d'attendre sans risque la disparition de la tension d'alimentation et la durée de fonctionnement du dispositif est totalisée. Dans l'exemple de la figure 1, les messages de défaillance sont envoyés sur une liaison numérique série, par exemple de type AR1NC 429, au dispositif d'exploitation qui peut être par exemple l'enregistreur de vol de l'aérodyne ou un équipement de test externe embarqué. Au cours du test complet de la mémoire MSN, chacune de ses parties est testée entièrement avant de passer à la partie suivante. Si une défaillance est détectée, la cause de cette défaillance est recherchée comme on l'a décrit précédemment. II est préférable, pendant les tests, que la sélection des parties de la mémoire MSN se fasse selon un ordre fixe. De manière à rendre le test de la mémoire MSN le plus exhaustif possible, le dispositif séquenceur de test DST pourra comporter deux générateurs pseudo-aléatoires identiques formés par des registres à décalage connus sous la dénomination anglo saxonne de LFSR pour Linear Feedback Shift Register. L'un de ces registres est utilisé pour l'écriture et l'autre pour la vérification. A l'intérieur d'une partie de la mémoire, les adresses sont générées par le registre dédié à l'écriture, dans un ordre-pseudo aléatoire ce qui est plus représentatif de l'utilisation de la mémoire dans une application quelconque. Eventuellement pour être encore plus exhaustif, le parcours de l'espace mémoire sera exécuté dans un ordre pour l'écriture et dans l'ordre inverse pour la vérification, le choix de l'ordre pouvant être fait de façon aléatoire ou pseudo-aléatoire. Le dispositif de pilotage et de filtrage DPIF pourra avantageusement être réalisé par un micro-contrôleur en technologie peu sensible aux rayonnements cosmiques. Les technologies programmables à base de SRAM ne seront pas retenues. La mémoire MSN aura de préférence une capacité d'au moins 64 mégabits de manière à permettre une détection significative aux altitudes de vol des aérodynes actuels. Cette capacité peut par exemple se répartir en au moins 64 composants SRAM d'un mégabit chacun ou au moins 16 composants DRAM de 4 mégabits chacun. Compte tenu d'un taux de neutrons moyen de 11cl2 dans l'atmosphère à 10 000 mètres d'altitude et des données tirées des composants mémoires SRAM, on peut escompter un taux de défaillance imputable aux rayonnements cosmiques voisin de i par heure. Si la mémoire MSN comporte 64 mégabits organisés en mots de 16 bits, le test des 64 mégabits nécessite 4 millions d'opérations d'écriture et autant de vérification. Si une opération de lecture ou de vérification s'effectue en environ 100 nanosecondes, la durée du test de la mémoire en totalité est de l'ordre de 0,8 seconde. Un temps si court limite considérablement le risque de recueillir plusieurs défaillances imputables aux rayonnements cosmiques par test de la mémoire entière. Cette durée assure toutefois une bonne finesse de datation de chaque défaillance détectée et une excellente séparabilité et traçabilité des défaillances détectées. Au lieu que le dispositif de pilotage et de filtrage DPIF transmette directement les messages de défaillance, à un dispositif d'exploitation via une liaison série, il est possible que ces messages soient stockés dans une mémoire non volatile insensible aux rayonnements cosmiques. La figure 2 illustre cette variante. La mémoire non volatile est référencée MNV2. Cette mémoire MNV2 est choisie intrinsèquement insensible aux rayonnements cosmiques ou bien rendue robuste par l'emploi d'un codage redondant des informations qu'elle contient. Elle peut par exemple être réalisée par une mémoire EEPROM d'une capacité d'environ 32 à 128 kilobits organisés en mots de 8 bits. Cette mémoire MNV2 est destinée à être accessible en lecture par le dispositif d'exploitation à des fins d'exploitation des résultats. Le dispositif d'exploitation peut être embarqué ou au sol, dans ce dernier cas le dépouillement s'effectuera en temps différé. De préférence, la mémoire sera choisie effaçable. Elle pourra être ré-initialisée au moins une fois au cours de la vie de l'aérodyne. Cette opération ne se fera typiquement qu'en atelier lors de la maintenance des équipements électroniques embarqués. Lorsque le dispositif de pilotage et de filtrage DPIF est associé à une telle mémoire, il est avantageux qu'elle stocke aussi le contexte des bits détectés défaillants pour la première fois, ainsi que la signalisation des parties de mémoire MSN considérées comme hors test car en panne. Cela évite de conserver ces renseignements dans la mémoire interne du dispositif de pilotage et de filtrage DPIF. Avantageusement, cette mémoire non volatile MNV2 peut même stocker le statut de chaque partie de la mémoire MSN à l'issu du test qu'elle vient de subir. Lors d'un test ultérieur, le statut de ladite partie peut être extrait en parallèle par une analyse séquentielle pour être pris en considération par le dispositif de pilotage et de filtrage DPIF afin de contribuer à la validation de la cause d'une défaillance détectée. Après une réinitialisation complète, la mémoire non volatile MNV2 pourra, par exemple, être remplie avec la valeur FF dans toutes ses cases mémoires. Par la suite, il est possible d'y stocker le groupe horaire de mise sous tension, le groupe horaire de mise hors tension, les caractéristiques des pannes mémoire, les caractéristiques des défaillances imputables aux rayonnements cosmiques et la signalisation avec datation de la mise hors contrôle d'une partie en panne de la mémoire MSN, le temps de fonctionnement, éventuellement le contexte des bits défaillants pour la première fois, et même le statut de chaque partie de la mémoire MSN comme on vient de le voir. La figure 3 montre encore une variante du dispositif selon l'invention. Dans cette variante le dispositif de pilotage et de filtrage DPIF délivre ses messages d'une part à la mémoire non volatile MNV2 destinée à être traitée en temps différé en atelier et d'autre part à un dispositif d'exploitation embarqué, par l'intermédiaire d'une liaison numérique. On suppose que le contexte des bits défaillants pour la première fois et le contexte des parties de mémoire hors test sont aussi enregistrés dans cette mémoire MNV2. D'autres dispositions sont possibles comme sur la figure 1. L'exploitation des messages de défaillance imputables aux rayonnements cosmiques permet de connaître la répartition dans l'espace mémoire des défaillances mais aussi la répartition dans le temps et dans l'espace géographique du taux de défaillances. La répartition dans le temps permet de vérifier la cohérence des défaillances détectées avec le calendrier des éruptions solaires. La répartition dans l'espace géographique permet de vérifier, à posteriori, la cohérence des défaillances détectées avec les cartes établies et les relevés d'autres aérodynes ayant volé dans les mêmes zones. Cela suppose que les coordonnées géographiques latitude, longitude, altitude, font partie des informations stockées comme contexte associé aux NSEU. Ces informations peuvent être fournies par un équipement de navigation non représenté. REVENDICATIONS 1. Procédé pour quantifier l'impact des rayonnements cosmiques sur un équipement électronique à mémoire, caractérisé en ce qu'il consiste: - à tester en écriture et vérification une mémoire (MSN) volatile, sensible aux rayonnements cosmiques, de capacité mémoire et de sensibilité se rapprochant de celle de l'équipement électronique, - en présence d'une défaillance sur un bit, à déterminer si la défaillance est imputable aux rayonnements cosmiques ou à une panne mémoire, - à émettre un message de défaillance imputable aux rayonnements cosmiques ou de panne mémoire selon les résultats de la détermination. 2. Procédé selon la revendication 1, caractérisé en ce qu'il consiste, en présence de la défaillance, à rechercher au préalable, s'il s'agit d'une première défaillance survenant sur ce bit, - dans la négative à émettre un message de panne mémoire présumée, - dans l'affirmative à enregistrer le contexte de cette première défaillance et d'en déterminer la cause. 3. Procédé selon l'une des revendications 1 ou 2, caractérisé en ce que la détermination consiste à refaire le même test, sur un ou plusieurs bits précédemment testés incluant le bit défaillant, -si la défaillance subsiste, à émettre un message de panne mémoire, - si la défaillance disparaît: - dans l'hypothèse où plusieurs bits ont été retestés, à émettre un message de défaillance imputable aux rayonnements cosmiques, - dans l'hypothèse où seul le bit initialement défaillant a été retesté, à effectuer de nouveau le même test sur plusieurs bits précédemment testés incluant le bit initialement défaillant, puis à émettre un message de défaillance imputable aux rayonnements cosmiques si la défaillance disparaît et un message de panne dans le cas contraire. 4. Procédé selon l'une des revendications 1 à 3, caractérisé en ce qu'il consiste à considérer comme hors test, une partie de la mémoire (MSN) qui contient un ou plusieurs bits affectés d'au moins une panne mémoire et à émettre un message de mise hors test de cette partie de la mémoire. 5. Procédé selon la revendication 4, caractérisé en ce qu'il consiste à comptabiliser le nombre de pannes mémoire dans la partie de la mémoire, avant l'émission d'un message de mise hors test. 6. procédé selon l'une des revendications 4 ou 5, caractérisé en ce qu'il consiste à enregistrer le contexte de la partie considérée comme hors test. 7. Procédé selon l'une des revendications précédentes, caractérisé en ce qu'il consiste à enregistrer les messages sur une mémoire (MNV2) non volatile, insensible aux rayonnements cosmiques, avant de les exploiter. 8. Procédé selon l'une des revendications 1 à 7, caractérisé en ce qu'il consiste à envoyer les messages sur une ligne numérique en vue de leur exploitation. 9. Procédé selon l'une des revendications 1 à 8, caractérisé en ce qu'il consiste à dater les défaillances et / ou à comptabiliser la durée de test. 10. Dispositif pour quantifier l'impact des rayonnements cosmiques sur un équipement électronique à mémoire, caractérisé en ce qu'il comporte une mémoire (MSN) volatile, sensible aux rayonnements cosmiques, de capacité mémoire et de sensibilité proche de celle de l'équipement électronique - un dispositif séquenceur de test (DST) pour tester la mémoire en écriture et vérification, - un dispositif de pilotage et de filtrage (DPIF) qui pilote le dispositif séquenceur de test (DST) et qui en présence d'une défaillance sur un bit de la mémoire (MSN), détermine si la défaillance est imputable aux rayonnements cosmiques ou à une panne mémoire et émet un message de défaillance imputable aux rayonnements cosmiques ou de panne mémoire selon les résultats de la détermination. 11. Dispositif selon la revendication 10, caractérisé en ce que le dispositif de pilotage et de filtrage (DPIF) recherche au préalable si cette défaillance est la première, puis dans la négative émet un message de panne mémoire présumée et dans l'affirmative, enregistre le contexte de la défaillance dans une mémoire non volatile (MNV1, MNV2) insensible aux rayonnements cosmiques. 12. Dispositif selon l'une des revendications 10 ou 11, caractérisé en ce que le dispositif de pilotage et de filtrage (DPIF) émet un message de mise hors test d'une partie de la mémoire (MSN) qui contient un ou plusieurs bits affectés d'au moins une panne mémoire. 13. Dispositif selon la revendication 12, caractérisé en ce qu'il comporte au moins un compteur (C1) pour comptabiliser le nombre de panne mémoire affectant la partie de la mémoire (MSN) avant l'émission du message de mise hors test. 14. Dispositif selon l'une des revendications 10 à 13, caractérisé en ce qu'il comporte une mémoire non volatile (MNV2) insensible aux rayonnements cosmiques destinée à enregistrer les messages en vue de leur exploitation. 15. Dispositif selon l'une des revendications 10 à 14, caractérisé en ce que les messages sont émis sur une ligne numérique en vue de leur exploitation. 16. Dispositif selon l'une des revendications 10 à 15, caractérisé en ce qu'il comporte au moins une horloge (HO) destinée à dater les défaillances et/ou à comptabiliser la durée de test. 17. Dispositif selon l'une des revendications 10 à 16, caractérisé en ce que le contexte de la première défaillance et/ou le contexte de la partie considérée comme hors test sont enregistrés dans une mémoire (MNV1) non volatile insensible aux rayonnements cosmiques.