Brevet FR2910991A1 — publié le 20080704

MODULE DE SÉCURITÉ MATÉRIEL, PROCÉDÉ DE MISE EN SERVICE ET TERMINAL DE PAIEMENT ÉLECTRONIQUE UTILISANT CE MODULE La présente invention concerne un module de sécurité matériel, ainsi qu'un procédé de mise en service de ce module et un terminal de paiement électronique équipé d'un tel module. On connaît diverses technologies de modules de sécurité matériel (ou composants matériel de sécurité), aussi appelés HSMs (de l'anglais "Hardware Security Module"). Un module de sécurité est par exemple une carte PCI (par exemple la carte PCI IBM 4758) ou un dispositif externe SCSI / IP. Son rôle est de stocker de manière fiable des secrets, à long terme, pour un usage cryptographique et de protéger (en général physiquement) l'accès à et l'utilisation de ces secrets dans le temps. Un module de sécurité peut également être capable de générer ce secret. Généralement, les secrets sont des clefs privées, utilisées en cryptographie. Certains modules de sécurité permettent également la protection matérielle de clefs symétriques. Un module de sécurité peut être apte à être couplé à un système hôte hébergé par une machine informatique. Ce module peut par exemple être scellé au corps d'une machine et comporter des éléments indispensables à son fonctionnement de sorte qu'on ne puisse pas retirer ce module ou le mettre hors service sans entraver l'utilisation de la machine. Ces modules sont généralement conformes à la norme FIPS ("Federal Information Protection Standards") 140 (par exemple PUB 140-1 Level 3 ou supérieure), qui établit des exigences de sécurité. Par exemple, la norme FIPS 3 requiert qu'un module de sécurité soit inviolable, à la fois au sens des terminologies anglaisz "tamper-evident" et "tamper-resistant". L'inviolabilité " (au sens de "tamperevident" est habituellement obtenue par l'utilisation d'une bague ou d'un joint inviolable. L'inviolabilité ("Tamper-resistance") est habituellement obtenue par revêtement des puces ou des cartes dans une résine plastique non-conductrice. De tels modules de sécurité connaissent des problèmes divers. Un premier problème est que la technologie de "résine" implique des contraintes sur la forme du circuit composant le module, qui doit être carrée. Un autre problème est lié à la dissipation thermique et aux contraintes exercées par la résine sur le circuit : la résine ne s'étire pas comme le support sous l'effet de la température. Ceci conduit parfois à un taux de casse non négligeable lors de la production ou de l'assemblage (le taux peut atteindre 15%). Le module de sécurité n'est alors pas réutilisable. R 03revetsI2S900\2 5 92 3--0703 12 Texte corrigé sans références dessin.doc - 26/03/07 - 15'03 - 1/13 II existe donc un besoin pour un module de sécurité garantissant une inviolabilité, et résolvant l'un au moins de problèmes ci-dessus, causés par l'utilisation de résine. En particulier, ce module doit être de conception telle qu'il n'entraîne pas de contraintes quant à la forme du circuit. Idéalement, ce module devrait être au moins partiellement recyclable, plus résistant à la pénétration physique et moins cher qu'un module résine classique. L'invention a ainsi pour objet un module de sécurité matériel comprenant une mémoire susceptible de stocker un secret, un processeur couplé à la mémoire, dans lequel : le module de sécurité matériel comprend en outre : une enceinte étanche comprenant un gaz, un transducteur couplé au processeur, sensible à une propriété du gaz, apte à convertir cette propriété en un signal et fournir ce signal au processeur, dans lequel le processeur est apte à agir sur le secret en cas de réception d'un signal, fourni par le transducteur, correspondant à un changement substantiel de la propriété du gaz. Dans des modes de réalisation préférés, le module selon l'invention comprend une ou plusieurs des caractéristiques suivantes: - le module comprend en outre un agent chimique dans l'enceinte, susceptible de libérer une quantité de gaz par ignition ; - le processeur est apte à générer ou accueillir un secret en cas de réception d'un signal correspondant à une première variation substantielle de ladite propriété ; et le processeur est apte à agir sur le secret en cas de réception d'un signal correspondant à une deuxième variation substantielle de ladite propriété ; - le transducteur est un capteur sensible à la pression du gaz ; - le processeur étant en outre apte à : générer ou accueillir un secret en cas de réception d'un signal correspondant à une première variation substantielle de pression; et agir sur le secret en cas de réception d'un signal correspondant à une deuxième variation substantielle de pression, le cas échéant de signe opposé à la première variation ; - le module comprend en outre un capteur sensible à la température du gaz ; et - le module comprend: une première partie comprenant l'enceinte, le transducteur, et la mémoire ; et une deuxième partie, dans lequel l'une de ces parties est enfichable sur l'autre de ces parties. L'invention concerne également un terminal de paiement électronique, comprenant un module de sécurité matériel selon l'invention. L'invention concerne en outre un procédé de mise en service d'un module de sécurité matériel selon l'invention comprenant l'étape de fourniture du module de sécurité matériel et d'établissement de la propriété du gaz dans l'enceinte. R '13revets\25900\25923--070312 Texte corrigé sans références dessin.doc - 26/03/07 - 15.03 - 2/13 Dans des modes de réalisation préférés, le procédé selon l'invention comprend une ou plusieurs des caractéristiques suivantes: - le procédé comprend en outre une étape de chargement du secret dans la mémoire du module de sécurité matériel ; et -le procédé comprend les étapes : de fourniture d'un lot de modules de sécurité matériel selon l'invention ; et de modification aléatoire dans un intervalle donné de la propriété d'un gaz dans les enceintes de modules du lot, l'intervalle donné étant éloigné de la valeur seuil. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description détaillée qui suit des modes de réalisation de l'invention, donnés à titre d'exemple uniquement. L'invention propose un module de sécurité matériel comprenant une mémoire susceptible de stocker un secret et un processeur couplé à la mémoire. Ce module comprend en outre une enceinte étanche comprenant un gaz et un transducteur couplé au processeur. Ce transducteur est sensible à une propriété du gaz, par exemple la pression ; il set apte à convertir cette propriété en un signal fourni au processeur. Le processeur est conçu pour agir sur le secret (par exemple l'effacer) si le signal reçu indique une violation physique de l'enceinte. Ce module est conçu de telle sorte qu'une variation d'une propriété du gaz se produise en cas de violation physique du module. Une violation du module se traduit par exemple par une violation de l'enceinte (fracture, etc.), ce qui entraîne notamment un changement de pression. La variation subséquente de propriété du gaz engendre alors un signal correspondant, lequel est interprété par le processeur qui agît ensuite sur le secret. Par exemple, cette variation de propriété conduit au dépassement (dans un sens ou dans l'autre) d'une valeur seuil, prédéfinie en conséquence. Plus spécifiquement, cette valeur seuil peut être définie de telle sorte qu'une violation physique entraîne de manière certaine le dépassement de la valeur seuil. En variante, c'est une variation de pression dans le temps qui est interprétée par le processeur. En tout état de cause, le processeur est apte à agir sur le secret en cas de réception d'un signal, fourni par le transducteur, correspondant à un changement substantiel de la propriété du gaz. Un tel module permet donc d'assurer une inviolabilité au sens de la terminoilogie anglaise "Tamper-resistance", sans pour autant nécessiter de revêtement en résine plastique non-conductrice. Sa conception n'implique aucune contrainte particulière quant à la forme du circuit (comprenant le processeur, la mémoire, etc). Ainsi, des inconvénients liés à l'utilisation de résine sont-ils évités. Par transducteur, on entend un dispositif qui sert à transformer, suivant par exemple une loi déterminée, une grandeur physique en une autre grandeur physique R.\Brevets\25900\25923--070312 Texte corrigé sans références dessin.doc - 26/03/07 - 15:03 - 3/13 ou en une autre valeur de la même grandeur, avec une précision donnée. Le transducteur en question peut par exemple être un capteur de pression ; il peut également s'agir de tout autre dispositif permettant de caractériser une violation de l'enceinte. Ce qui suit concerne un module de sécurité selon un mode de réalisation de l'invention. Plus en détails, dans ce mode de réalisation, le module de sécurité matériel équipé d'une mémoire susceptible de contenir un secret. Un processeur est couplé à la mémoire. Le processeur et la mémoire peuvent être du même type que ceux équipant les modules de sécurité connus. La mémoire peut par exemple être une mémoire RAM entretenue par une batterie. Comme dans les dispositifs connus, le rôle du processeur et de la mémoire est de stocker de manière fiable ce secret, à long terme, pour un usage cryptographique. Le processeur peut également être capable de générer ce secret, comme il sera décrit plus loin. Le secret en question peut par exemple être une clef privée. Selon l'invention, le module de sécurité comprend en outre une enceinte étanche, dans laquelle est contenue un gaz. En pratique, cette enceinte peut être formée par une enveloppe (ou un tube), solidaire d'un support. La conception et la fabrication de l'enveloppe peuvent être basées sur celles des enveloppes de tubes à vide. L'enveloppe peut être en verre (pour l'obtention d'un vide relatif dans l'enceinte), mais le métal, le quartz fondu (silice) et la céramique sont d'autres choix possibles. L'épaisseur de l'enveloppe variera en fonction de limites de résistance (mécaniques, en température, etc.) recherchées pour l'enveloppe. De préférence également, l'enveloppe est opaque, afin de prévenir toute interaction avec un laser ou une autre source de rayonnement. En général, en cas de violation de l'enceinte, une propriété (au moins) du gaz va changer. Par exemple, en cas de fracture de l'enceinte, la pression de gaz dans l'enceinte change. Typiquement, l'enceinte est chargée avec un gaz inerte, sous une pression différente de la pression atmosphérique. Ainsi, en cas de violation (par exemple en cas de fracture), ce sont à la fois la nature et la pression du gaz qui changent. Le module de sécurité selon l'invention comprend également un transducteur, couplé au processeur. Ce transducteur est sensible à une propriété du gaz. Il est, à cet égard, disposé de manière idoine dans l'enceinte : par exemple, la partie du transducteur qui est sensible à la propriété en question est directement exposée au gaz. Dans l'exemple précédent, la partie affleure à la surface du support sur lequel est fixée l'enveloppe fermant l'enceinte. R \Brev ets\25900\25923--070312 Texte corrigé sans références dessin doc - 26/03/07 - 15.03 - 4/13 Typiquement, le transducteur est un capteur sensible à la pression du gaz dans l'enceinte. Le capteur en question comprend un organe mécanique qui se déforme sous l'action de la pression du gaz à mesurer. Le capteur produit un signal électrique, typiquement proportionnel à la pression ressentie, ce signal étant destiné à alimenter (indirectement) le processeur. D'autres types de transducteur peuvent cependant être envisagés, par exemple un capteur de température. La combinaison de plusieurs types de capteurs peut en outre être envisagée, comme il sera décrit plus loin. Qu'il s'agisse de la pression ou d'une autre propriété du gaz, le transducteur est apte à convertir cette propriété en un signal, selon le principe du transducteur, et à fournir ce signal au processeur. Le signal peut être transmis périodiquement ou en suite à une variation de la valeur mesurée. Cela dépend de la nature du transducteur utilisé. Le processeur, couplé au transducteur est apte à interpréter le signal, ce qui équivaut à lui faire correspondre une valeur donnée ou une plage de valeurs donnée. A cet effet, le processeur peut comparer la valeur véhiculée par le signal à une valeur de référence, stockée dans une mémoire, par exemple dans la mémoire. Le cas échéant, une tolérance peut être prévue, pour compenser par exemple des fluctuations de pression (due à un défaut d'étanchéité, le cas échéant). Des opérations plus avancées peuvent cependant être impliquées, telles que la comparaison à une courbe de référence. Ceci sera décrit plus loin. En fonction du résultat de cette interprétation, le processeur peut alors prendre une mesure appropriée en vue de protéger le secret. En particulier, le processeur est apte à agir sur le secret contenu dans la mémoire, en cas de réception d'un signal correspondant à une variation substantielle de la propriété du gaz. Ceci est par exemple le cas lorsqu'une valeur de propriété du gaz dépasse une valeur seuil prédéfinie. Le processeur peut alors par exemple directement effacer ou au moins affecter le secret de sorte qu'il ne puisse pas être violé. Selon un mode de réalisation décrit maintenant, l'action du processeur sur le secret comporte deux phases. La première de ces phases correspond à une phase de mise en service, tandis que le deuxième correspond à une phase de fonctionnement, visant à préserver le secret. Plus en détail, lors de la première phase (mise en service), on établit une certaine propriété au gaz contenu dans l'enceinte. Cette opération peut par exemple consister à charger mécaniquement un gaz inerte dans l'enceinte. En variante, on peut prévoir des moyens chimiques, déposés dans l'enceinte, chargés de faire évoluer les propriétés du gaz dans l'enceinte. Ces moyens peuvent par exemple être de la neige carboniques devant se sublimer sous pression atmosphérique à l'état gazeux ou des molécules piégeant un gaz initialement RBrevets\25900\25923--070312 Texte corrigé sans références dessindoc - 26/03/07 - 15.03 - 5113 chargé dans l'enceinte. Il peut s'agir aussi de poudre pyrotechnique; ceci sera développé plus tard. Une propriété du gaz - par exemple la pression - est ainsi amenée à une première valeur. Le cas échéant, cette première valeur se situe au-delà d'une première valeur seuil connue ou accessible par le processeur. Sur réception d'un signal correspondant à une variation substantielle de la propriété du gaz, le processeur génère le secret, lequel est ensuite stocké dans la mémoire. En variante, le processeur ne génère pas lui-même le secret mais se met en attente de la réception du secret, qui est alors chargé dans la mémoire au moyen d'un dispositif externe au module de sécurité, d'une manière connue en soi. Lors d'une seconde phase, le processeur est apte à agir sur le secret en cas de réception d'un signal correspondant à une deuxième variation, par exemple correspondant à une valeur de ladite propriété dépassant une deuxième valeur seuil. Les variations ou dépassements de "valeur seuil" lors de la première et de la deuxième phases peuvent être effectués dans un même sens ou des sens opposés (c'est-à-dire dans un premier sens puis dans l'autre, selon le cas de figure). Le cas échéant, le processeur n'agît sur le secret en cas de dépassement de la deuxième valeur seuil que si la première valeur seuil a déjà été franchie. A titre d'exemple, lors de la mise en service, on peut charger l'enveloppe d'un gaz inerte sous une pression supérieure à la pression atmosphérique P0. Lorsque la pression courante P établie dans l'enceinte dépasse une première valeur seuil P1 (c'est-à-dire qu'elle passe au dessus de P1, soit P > PI, avec par exemple PI = 2 P0), le processeur génère le secret ou se met en attente de réception du secret. Lors de la phase utilisation, dans l'éventualité où le module serait physiquement violé, l'enveloppe est brisée, et la pression courante P chute à P0. En chutant, la pression courante dépasse la deuxième valeur seuil P2 (PO PI ou P > P2, afin de prévenir toute action inopportune du processeur. La tolérance en question est ajustée en fonction des conditions d'utilisation estimée. Par exemple, si ces conditions impliquent une température locale donnée, il convient de prévoir un changement de pression associé et de répercuter ce changement dans la tolérance. Le processeur peut être prévu pour fonctionner sur un seul cycle, pour certaines applications. Par exemple, s'il détecte que les valeurs PI puis P2 ont toutes deux déjà été dépassées une fois, il n'est plus apte à générer ou se mettre en attente d'un secret. Pour d'autres applications et notamment en vue de son recyclage, il peut être apte à fonctionner sur plusieurs cycles. Par exemple, après un premier cycle, s'il détecte que la valeur PI est dépassée, le processeur est de nouveau apte à générer ou se mettre en attente d'un secret. Par ailleurs, le module comprend de préférence deux parties. Une première partie comprend l'enceinte, le transducteur, ainsi que la mémoire gardant le secret, tandis que la deuxième partie est constituée d'autres composantes du module de sécurité. L'une de ces parties, par exemple la première partie est enfichable sur l'autre partie. Un connecteur à broches standard peut par exemple être utilisé. De la sorte, en cas de casse ou de dysfonctionnement de l'enceinte ou du transducteur, seule la première partie est perdue. Les autres composants du module (par exemple le processeur) contenus dans la deuxième partie peuvent être directement recyclés en les enfichant dans une nouvelle enceinte. Le module est alors R 'Brevets\25900\2 592 3--0703 12 Texte corrigé sans références dessin. doc - 26/03/07 - 15:03 - 7/13 partiellement recyclable, ce qui est un avantage considérable par rapport aux HSMs résinés. De préférence, le module comprend un capteur sensible à la température du gaz, outre le transducteur. La combinaison de capteurs recherchée est par exemple un couple de capteurs de pression et température. Ceci permet d'affecter le module à des conditions d'utilisations variées, en ce qui concerne la température. La comparaison à des valeurs seuils peut alors prendre la forme d'une comparaison à des couples de valeurs pression / température (ci-après P, T). Il peut cependant s'avérer plus avantageux de comparer le couple de valeurs P, T courantes à une courbe pression / température du gaz, par exemple modélisée sous la forme d'une fonction simple, connue du processeur. Lorsque les couples P, T s'écartent substantiellement de la courbe, alors le processeur agît sur le secret comme décrit plus haut. Selon un autre mode de réalisation, le module est pourvu d'une capsule comprenant un composé chimique, par exemple de la poudre à canon ou un équivalent, par exemple un matériau pyrotechnique, et des moyens d'ignition de ce matériau. Lors de la mise en service du module, celui-ci est connecté en usine à un circuit électrique qui génère une étincelle via les moyens d'ignition. Les moyens d'ignitions sont par exemple un circuit relayant une décharge, terminé par une électrode susceptible de produire une étincelle. La libération de gaz qui s'ensuit provoque une élévation substantielle de la pression, par exemple à une valeur PI. La pression alors établie est mémorisée dans une mémoire, par exemple la mémoire. Si ensuite, lors de la phase utilisation, il est détecté une chute de pression, le processeur agît sur le secret comme exposé plus haut. Le coût de revient escompté d'un tel module est actuellement de l'ordre de US $ 0.8. Selon une variante, le module est assemblé en usine dans un environnement pressurisé où règne une pression PI (PI > P0); c'est cette pression qui est dès lors établie dans l'enceinte. Si ensuite, lors de la phase utilisation, il est détecté une chute de pression, le processeur agît sur le secret. En outre, pour sécuriser encore davantage les modules de sécurité et pour se prémunir de toute violation, le procédé de mise en service peut être modifié de sorte à charger initialement des enceintes de modules selon des pressions aléatoires. Les pressions sont cependant confinées dans un intervalle suffisamment éloigné de la ou les valeurs seuils, afin d'éviter toute action malencontreuse du processeur. Ainsi, il n'est pas possible de prévoir l'évolution de la pression dans une enceinte, lorsque l'on applique une température donnée. Comme évoqué plus haut, le module de sécurité peut être apte à être couplé à un système hôte hébergé par une machine informatique. A cet égard, le module de sécurité peut comprendre un module entrée / sortie, couplé au processeur, R Brevets'15900'15923--070312 Texte corrigé sans références dessin.doc -26/03/07 - 15:03 - 8113 responsable des échanges des données entre le système hôte et le circuit via un bus PCI. Le processeur est typiquement pourvu de fonctionnalités assurant des opérations de chiffrement et de déchiffrement ainsi que le stockage d'information dans la mémoire. Le module de sécurité peut en outre être pourvu de divers moyens pour interdire au système hôte l'accès à certaines informations (en particulier les secrets) stockées dans la mémoire. Dans un mode de réalisation, le processeur, le module entrée / sortie et les moyens d'interdiction d'accès sont arrangés dans la deuxième partie, en vue d'un recyclage éventuel. A cet égard, l'invention concerne également un terminal de paiement électronique, équipé du module de sécurité tel que décrit ci-dessus. Un terminal de paiement électronique (TPE) est généralement connu de l'art : c'est un appareil électronique permettant d'enregistrer une transaction de paiement sécurisée. Un TPE est typiquement un ordinateur placé chez un commerçant, qui permet des règlements par cartes bancaires (telles que les cartes à puce ou les cartes à piste magnétique). Le commerçant introduit la carte de son client dans le lecteur du terminal et entre le montant de la transaction. Le client valide son achat, par exemple en composant son code confidentiel sur le clavier de l'appareil et reçoit un ticket confirmant la transaction. Le module de sécurité inviolable offre les fonctions cryptographiques nécessaires à la sécurisation des transactions via le TPE selon l'invention. Il peut par exemple prendre en charge des systèmes de terminaux de paiement variés, utilisés dans le monde entier. Le module de sécurité peut par exemple intégrer divers schémas de gestion de clés requis pour sécuriser les terminaux, comme par exemple le schéma Racal Transaction Key , les versions Single et Triple DES des schémas DUKPT (pour "Derived Unique Key Per Transaction") et Australian Transaction Key . L'invention n'est cependant pas limitée aux variantes décrites ci avant mais est susceptible de nombreuses autres variations aisément accessibles à l'homme du métier. Par exemple, le transducteur peut être un capteur chimique (tel qu'un capteur de composition gazeuse). De tels capteurs sont connus de l'art par exemple. Un tel capteur peut par exemple être constitué d'une partie chimiosélective (c'est-à-dire permettant la reconnaissance de l'espèce chimique) et d'un détecteur qui traduit l'interaction chimique en signal électrique. Plutôt que de baser l'action du processeur sur la détection d'une différence de pression, l'action est alors basée sur la détection d'un changement de la composition chimique du gaz dans l'enceinte. A titre d'exemple encore, plutôt que d'effacer le secret, le processeur peut fournir un signal d'alerte ou chiffrer le secret à l'aide d'une clé publique connue du R 'Brevets\25900125923--070312 Texte corrigé saris références dessin.doc -26/03/07 - 15:03 - 9/13 seul propriétaire légitime du dispositif. Un délai de temporisation peut en outre être prévu avant l'effacement du secret. R: 'Brevets\25900`.25923--070312 Texte corrigé sans références dessin doc -26/03/07 - 1503 - 10113 REVENDICATIONS 1. Module de sécurité matériel comprenant : - une mémoire susceptible de stocker un secret ; - un processeur couplé à la mémoire ; dans lequel : le module de sécurité matériel comprend en outre : - une enceinte étanche comprenant un gaz ; - un transducteur couplé au processeur, sensible à une propriété du gaz, apte à convertir cette propriété en un signal et fournir ce signal au processeur ; dans lequel : - le processeur est apte à agir sur le secret en cas de réception d'un signal, fourni par le transducteur, correspondant à un changement substantiel de la propriété du gaz. 2. Module de sécurité matériel selon la revendication 1, caractérisé en ce que : - le module comprend en outre un agent chimique dans l'enceinte, susceptible de libérer une quantité de gaz par ignition. 3. Module de sécurité matériel selon la revendication 1 ou 2, caractérisé en ce que - le processeur est apte à générer ou accueillir un secret en cas de réception d'un signal correspondant à une première variation substantielle de ladite propriété ; et - le processeur est apte à agir sur le secret en cas de réception d'un signal correspondant à une deuxième variation substantielle de ladite propriété. 4. Module de sécurité matériel selon la revendication 1 à 3, caractérisé en ce que: - le transducteur est un capteur sensible à la pression du gaz. 5. Module de sécurité matériel selon la revendication 4, caractérisé en ce que le processeur étant en outre apte à : - générer ou accueillir un secret en cas de réception d'un signal correspondant à une première variation substantielle de pression ; et - agir sur le secret en cas de réception d'un signal correspondant à une deuxième variation substantielle de pression, le cas échéant de signe opposé à la première variation. RU3revets\25900\25923--070312 Texte corrigé sans références dessindoc -26/03/07 - 15.03 - I I/13 6. Module de sécurité matériel selon l'une quelconque des revendications 1 à 5, caractérisé en ce qu'il comprend en outre un capteur sensible à la température du gaz. 7. Module de sécurité matériel selon l'une quelconque des revendications 1 à 6, caractérisé en ce que le module comprend: - une première partie comprenant l'enceinte, le transducteur, et la mémoire ; et - une deuxième partie, dans lequel l'une de ces parties est enfichable sur l'autre de ces parties. 10. Terminal de paiement électronique, comprenant un module de sécurité matériel selon l'une quelconque des revendications 1 à 7. 11. Procédé de mise en service d'un module de sécurité matériel selon la revendication 1 à 8 comprenant l'étape : - de fourniture du module de sécurité matériel et d'établissement de la propriété du gaz dans l'enceinte. 10. Procédé selon la revendication 9, caractérisé en ce qu'il comprend en outre une étape : - de chargement du secret dans la mémoire du module de sécurité matériel. 11. Procédé de mise en service d'un lot de modules de sécurité matériel, comprenant les étapes : - de fourniture d'un lot de modules de sécurité matériel selon la revendication 1 à 7 ; et - de modification aléatoire dans un intervalle donné de la propriété d'un gaz dans les enceintes de modules du lot, l'intervalle donné étant éloigné de la valeur seuil. R-\Brevets125900'25923--070312 Texte corrigé sans références dessin. doc - 26/03/07 - 17:03 - 12/13