Brevet FR3109227A1 — publié le 20211015

Dispositif électronique, comportant un contrôleur d’interruption (CI) possédant une entrée (EC) pour recevoir un signal d’horloge contrôleur (CLK-CI), une sortie (SC) et configuré pour délivrer un signal d’interruption de sortie (ILACout) sur ladite sortie (SC) en présence dudit signal d’horloge contrôleur (CLK-CI), et un circuit de commande (CC). Le circuit de commande possède, une interface d’entrée pour recevoir au moins un signal d’interruption (ILACin) susceptible d’émaner d’au moins un équipement externe (EQ1, EQ2, EQ3) au dispositif, une entrée d’horloge (ECK) pour recevoir un signal d’horloge externe (CLK), et des moyens de commande connectés à l’interface d’entrée et à l’entrée d’horloge (ECK). Les moyens de commandes sont configurés pour générer automatiquement le signal d’horloge contrôleur (CLK-CI) à partir du signal d’horloge externe (CLK) en présence dudit au moins un signal d’interruption (ILACin) et jusqu’à une délivrance du signal d’interruption de sortie (ILACout) correspondant. Figure pour l’abrégé : Fig 1 Contrôleur d’interruption et procédé de gestion d’un tel contrôleur Des modes de réalisation et de mise en œuvre de l’invention concernent les contrôleurs d’interruption, notamment la gestion de leur fonctionnement, et en particulier les contrôleurs d’interruption incorporés au sein de microcontrôleurs sécurisés destinés à traiter des signaux de faute de sécurité. Classiquement, un contrôleur d’interruption est destiné à recevoir des signaux d’interruption émanant d’un ou de plusieurs équipements externes. Les signaux d’interruption sont émis par le ou les équipements externes lorsque ceux-ci veulent signaler à un cœur de traitement, par exemple un microprocesseur, un évènement particulier nécessitant par exemple une action particulière de la part du cœur de traitement. Le contrôleur d’interruption gère alors la réception des signaux d’interception pour, par exemple, les sérialiser et les transmettre séquentiellement au cœur de traitement. Certains microcontrôleurs peuvent être sécurisés, c’est-à-dire comporter un domaine sécurisé. Le domaine sécurisé peut comporter un cœur de traitement sécurisé comportant un cœur de traitement sécurisé, comprenant un code programme sécurisé, et des équipements sécurisés ne devant par exemple n’être accédés que par le cœur de traitement sécurisé. Un tel microcontrôleur peut cependant également comporter un domaine non sécurisé. Le domaine non-sécurisé peut comporter un cœur de traitement non sécurisé comprenant un code programme non sécurisé et des équipements non sécurisés. Il est possible au cours du fonctionnement du microcontrôleur que le cœur de traitement non sécurisé tente d’accéder, lors de l’exécution de son code programme non sécurisé, à un équipement sécurisé. Ceci entraine une faute de sécurité qui va se traduire par l’émission d’un signal d’interruption depuis l’équipement externe vers le contrôleur d’interruption en vue d’être transmis au cœur de traitement sécurisé. Et dans une telle application sécurisée il est important que le contrôleur d’interruption ne manque aucune faute de sécurité. A cet égard, il est prévu actuellement de faire fonctionner le contrôleur d’interruption en permanence, c’est-à-dire de lui délivrer en permanence un signal d’horloge. Or ceci est problématique lorsque le microcontrôleur passe dans un mode basse consommation. Il existe donc un besoin de ne pas pénaliser la consommation du microcontrôleur dans un mode basse consommation, tout en s’assurant que le contrôleur d’interruption traite effectivement tous les signaux d’interruption reçus, par exemple des signaux de faute de sécurité, sans en omettre aucun. Selon un aspect, il est donc proposé un dispositif électronique, comportant : -un contrôleur d’interruption possédant une entrée pour recevoir un signal d’horloge contrôleur, une sortie et configuré pour délivrer un signal d’interruption de sortie sur ladite sortie en présence dudit signal d’horloge contrôleur, et -un circuit de commande possédant, une interface d’entrée pour recevoir au moins un signal d’interruption susceptible d’émaner d’au moins un équipement externe au dispositif, une entrée d’horloge pour recevoir un signal d’horloge externe, et des moyens de commande connectés à l’interface d’entrée et à l’entrée d’horloge et configurés pour générer automatiquement le signal d’horloge contrôleur à partir du signal d’horloge externe en présence dudit au moins un signal d’interruption et jusqu’à une délivrance du signal d’interruption de sortie correspondant. En d’autres termes, selon cet aspect, on délivre automatiquement c’est-à-dire sans qu’il soit nécessaire à un utilisateur de programmer quoi que ce soit, le signal d’horloge externe (et donc le signal d’horloge contrôleur) au contrôleur d’interruption, ce qui va lui permettre de délivrer le signal d’interruption de sortie, destiné par exemple à un processeur, et on stoppe la délivrance du signal d’horloge contrôleur dès que le signal d’interruption de sortie a été délivré. Ainsi, grâce au circuit de commande, le contrôleur d’interruption reçoit le signal d’horloge qui forme l’horloge contrôleur sur une période comprise entre : la réception du signal d’interruption par le circuit de commande et la délivrance du signal d’interruption de sortie correspondant par le contrôleur d’interruption. On n’omet donc aucun signal d’interruption tout en limitant la consommation du contrôleur d’interruption. Selon un mode de réalisation, l’interface d’entrée est configurée pour recevoir plusieurs signaux d’interruption respectivement susceptibles d’émaner de plusieurs équipements externes différents et les moyens de commande sont configurés pour générer automatiquement le signal d’horloge contrôleur à partir du signal d’horloge externe en présence de l’un au moins des signaux d’interruption. Ainsi, l’interface d’entrée peut recevoir plusieurs signaux d’interruption ce qui permet aux moyens de commande de générer le signal d’horloge contrôleur pour chaque signal d’interruption reçu par l’interface d’entrée. Par exemple, l’interface d’entrée comporte une porte OU dont les entrées sont destinées à recevoir lesdits signaux d’interruption différents, et dont la sortie est connectée aux moyens de commande. En effet, chaque entrée de la porte OU peut être connectée à un équipement externe différent. Ainsi, si un seul signal d’interruption est reçu par une seule des entrées de la porte OU de l’interface d’entrée, alors la sortie de la porte OU émet un signal permettant aux moyens de commande de générer le signal d’horloge contrôleur. Selon un mode de réalisation, les moyens de commande comportent des moyens logiques possédant des premiers moyens d’entrée connectés à l’interface d’entrée et des deuxièmes moyens d’entrée connectés à l’entrée d’horloge et configurés pour commander par porte ledit signal d’horloge externe pour générer automatiquement ou non le signal d’horloge contrôleur par non coupure ou coupure du signal d’horloge externe. Ainsi, le signal d’horloge contrôleur est généré à partir du signal d’horloge externe, et donc les moyens logiques permettent de ne pas couper ou de couper le signal d’horloge contrôleur en commandant par porte signal d’horloge externe (cette technique est appelée usuellement en anglais « Clock Gating »). Par exemple, les moyens logiques comportent une porte ET possédant une première entrée formant les premiers moyens d’entrée et une deuxième entrée formant les deuxièmes moyens d’entrée. Certains contrôleurs d’interruption peuvent générer le signal d’interruption de sortie en un cycle du signal d’horloge contrôleur. D’autres contrôleurs d’interruption nécessitent plusieurs cycles du signal d’horloge contrôleur pour générer le signal d’interruption de sortie. Selon un mode de réalisation, dans lequel le contrôleur d’interruption est configuré pour délivrer le signal d’interruption de sortie en un cycle du signal d’horloge contrôleur, et les premiers moyens d’entrée desdits moyens logiques sont connectés directement à l’interface d’entrée, de façon à délivrer sur les premiers moyens d’entrée des moyens logiques au moins un signal d’interruption autorisant la génération du signal d’horloge contrôleur lors de l’occurrence de ce signal d’interruption et inhibant la délivrance du signal d’horloge contrôleur par coupure du signal d’horloge externe après l’occurrence du signal d’interruption. Ainsi, les moyens logiques directement connectés à l’interface d’entrée permettent une génération automatique d’un seul cycle d’horloge contrôleur. Selon un mode de réalisation alternatif, dans lequel le contrôleur d’interruption est configuré pour délivrer le signal d’interruption de sortie en plusieurs cycles du signal d’horloge contrôleur, les moyens de commande comportent un étage de commande connecté entre l’interface d’entrée, les premiers moyens d’entrée des moyens logiques et la sortie du contrôleur d’interruption. L’étage de commande étant configuré pour délivrer sur les premiers moyens d’entrée des moyens logiques un signal logique autorisant la génération du signal d’horloge contrôleur lors de l’occurrence d’au moins un signal d’interruption tant que le signal d’interruption de sortie correspondant n’a pas été délivré et inhibant la délivrance du signal d’horloge contrôleur par coupure du signal d’horloge externe une fois que ledit signal d’interruption de sortie a été délivré. Ainsi, l’étage de commande permet d’attendre que le signal d’interruption de sortie soit délivré, avant de couper le signal d’horloge externe. Le signal d’horloge contrôleur est alors généré pendant un nombre de cycles permettant au contrôleur de délivrer le signal d’interruption de sortie. Selon un mode de réalisation, l’étage de commande comporte un moyen de mémorisation, par exemple une bascule, contrôlé par le signal d’horloge externe et configuré pour mémoriser la présence d’au moins un signal d’interruption jusqu’à la génération du signal d’interruption de sortie. Selon un mode de réalisation, l’étage de commande comporte une porte ET ayant une première entrée inversée connectée à la sortie du contrôleur d’interruption et une deuxième entrée connectée à la sortie du moyen de mémoire. Selon un mode de réalisation, ledit contrôleur d’interruption est un contrôleur d’interruption sécurisé et ledit au moins un signal d’interruption est au moins un signal de faute de sécurité. Selon un autre aspect, il est proposé un microcontrôleur, comprenant : un domaine non sécurisé incorporant un cœur de traitement non sécurisé contenant un code programme non sécurisé, et un domaine sécurisé incorporant au moins un cœur de traitement sécurisé contenant un code programme sécurisé, un dispositif tel que défini ci-avant, configuré pour délivrer le ou les signaux d’interruption de sortie éventuels au cœur de traitement sécurisé, et au moins un équipement non sécurisé externe audit dispositif, et un module de contrôle associé audit au moins un équipement externe sécurisé et configuré pour délivrer le signal de faute de sécurité audit dispositif en cas d’une tentative d’accès audit au moins un équipement sécurisé par le cœur de traitement non sécurisé. Selon un autre aspect, il est proposé un procédé de gestion d’un contrôleur d’interruption, comprenant : -une réception d’au moins un signal d’interruption ; -une réception d’un signal d’horloge externe ; -une délivrance d’un signal d’horloge contrôleur sur une entrée du contrôleur d’interruption en présence duquel le contrôleur d’interruption délivre un signal d’interruption de sortie, procédé dans lequel on génère automatiquement le signal d’horloge contrôleur à partir du signal d’horloge externe en présence dudit au moins un signal d’interruption et jusqu’à la délivrance du signal d’interruption de sortie. Selon un mode de mise en œuvre, le procédé comprend une réception de plusieurs signaux d’interruption respectivement et une génération automatique du signal d’horloge contrôleur à partir du signal d’horloge externe en présence de l’un au moins desdits signaux d’interruption. Selon un mode de mise en œuvre, le procédé comprend la génération ou non du signal d’horloge contrôleur comprend une commande par porte du signal d’horloge externe ne coupant pas ou coupant le signal d’horloge externe. Selon un mode de mise en œuvre, le procédé comprend que le contrôleur d’interruption délivre le signal d’interruption de sortie en un cycle du signal d’horloge contrôleur, et on génère le signal d’horloge contrôleur lors de l’occurrence d’un signal d’interruption en ne coupant pas le signal d’horloge externe et on inhibe la délivrance du signal d’horloge contrôleur par coupure du signal d’horloge externe après l’occurrence du signal d’interruption. Selon un mode de mise en œuvre, le procédé comprend que le contrôleur d’interruption délivre le signal d’interruption de sortie en plusieurs cycles du signal d’horloge contrôleur, et on génère le signal d’horloge contrôleur, en ne coupant pas le signal d’horloge externe, lors de l’occurrence d’au moins un signal d’interruption tant que le signal d’interruption de sortie correspondant n’a pas été délivré et on inhibe la délivrance du signal d’horloge contrôleur par coupure du signal d’horloge externe une fois que ledit signal d’interruption de sortie a été délivré. D’autres avantages et caractéristiques de l’invention apparaîtront à l’examen de la description détaillée de modes de réalisation et de mise en œuvre, nullement limitatifs, et des dessins annexés sur lesquels : ; ; ; ; illustrent des modes de réalisation et de mise en œuvre de l’invention. La figure 1 illustre un schéma bloc représentant un mode de réalisation d’un dispositif électronique DIS comprenant un contrôleur d’interruption CI relié à un circuit de commande CC. Le circuit de commande CC est configuré pour délivrer ou non un signal d’horloge contrôleur CLK-CI sur une entrée EC du contrôleur d’interruption CI, en fonction de la réception ou non d’un signal d’interruption ILACin provenant d’au moins un des équipements externe EQ1, EQ2, EQ3, Suite à la réception par le circuit de commande CC d’un signal d’interruption ILACin, le contrôleur d’interruption CI est capable, dans ce mode de réalisation, de délivrer, sur une sortie SC, un signal d’interruption de sortie ILACout en un seul cycle du signal d’horloge contrôleur CLK-CI. A cet égard le contrôleur d’interruption CI du dispositif peut être par exemple d’un type similaire à un contrôleur d’interruption référencé STM32L5 au sein de la société STMicroelectronics. Le signal d’interruption de sortie ILACout est ensuite destiné à être par exemple délivré à un cœur de traitement CPU, tel qu’un microprocesseur. Le cœur de traitement CPU peut être un cœur de traitement sécurisé configuré pour traiter des signaux d’interruption émanant d’équipements sécurisés, tels que des fautes de sécurité. Ce mode de réalisation illustré par la figure 5 est décrit ci-après. Si l’on se réfère de nouveau à la figure 1, on voit que le circuit de commande CC comporte une interface d’entrée PL1 connectée aux équipements externes EQ1, EQ2, EQ3. Il est en entendu que le nombre d’équipements externes connectés à l’interface d’entrée du circuit de commande CC peut être quelconque. Au moins un des équipements externes est destiné à émettre le signal d’interruption ILACin qui est reçu par l’interface d’entrée du circuit de commande CC. L’interface d’entrée comprend ici une porte OU, référencée PL1, dont chaque entrée est connectée à un des équipements externes EQ1, EQ2, EQ3. D’une façon générale, le circuit de commande CC comporte des moyens de commande pour générer automatiquement le signal d’horloge contrôleur CLK-CI à partir d’un signal d’horloge externe CLK reçu sur une entrée d’horloge ECK du circuit de commande CC, délivré par exemple par un quartz ou une boucle verrouillage de phase, en présence d’au moins un signal d’interruption ILACin. A cet égard, les moyens de commande comportent des moyens logiques, ici une porte ET référencée PL2, dont première entrée E1 est connectée à la sortie de la porte OU PL1, et dont une deuxième entrée E2 est connectée à l’entrée d’horloge ECK. La sortie de la porte ET PL2 est connectée à l’entrée EC du contrôleur d’interruption CI. On se réfère maintenant plus particulièrement à la figure 2 qui illustre un mode de mise en œuvre d’un procédé selon l’invention, sous forme d’un chronogramme temporel relatif au fonctionnement d’un dispositif DIS selon le mode de réalisation décrit en référence à la figure 1. Selon le mode de mise en œuvre présenté ici, le circuit d’interruption CI du dispositif DIS est capable de délivrer un signal d’interruption de sortie ILACout en un seul cycle du signal d’horloge contrôleur CLK-CI après la réception d’un signal d’interruption ILACin. Des étapes de fonctionnement du dispositif DIS sont exposées ci-après. Le signal d’horloge externe CLK est reçu par l’entrée d’horloge ECK du circuit de commande CC dès lors que le dispositif DIS est en fonctionnement. Le signal d’horloge externe est donc délivré en continu à la deuxième entrée E2 de la pote ET PL2. Le dispositif DIS étant en fonctionnement, un signal d’interruption ILACin peut être reçu par le circuit de commande CC. Ici une présence d’un signal d’interruption émis par l’un des équipements externes se traduit par une impulsion à l’état haut du signal ILACin tandis qu’une absence de signal d’interruption se traduit par un état bas du signal ILACin. Le signal d’interruption ILACin est reçu sur l’une des entrées de l’interface d’entrée PL1 du circuit de commande CC. Une fois le signal d’interruption ILACin reçu, il est directement transmis jusqu’à la première entrée E1 de la porte ET PL2. Les moyens logiques, ici la porte ET PL2, effectuent automatiquement une non coupure ou une coupure du signal d’horloge externe CLK (cette technique est usuellement appelée en anglais « Clock Gating ») respectivement en présence ou en absence du signal d’interruption ILACin, de façon à générer ou non, automatiquement le signal d’horloge contrôleur CLK-CI. Lorsque le signal d’interruption de sortie ILACout a été émis, ce signal retombe à l’état bas, ce qui coïncide avec la retombée à l’état bas du signal d’interruption ILACin et donc à la coupure du signal d’horloge externe CLK, puisque le signal ILACout est généré en un cycle du signal d’horloge contrôleur CLK-CI. En d’autres termes, on génère automatiquement le signal d’horloge contrôleur CLK-CI à partir du signal d’horloge externe CLK en présence dudit signal d’interruption ILACin et jusqu’à la délivrance du signal d’interruption de sortie ILACout. La figure 3 illustre un schéma bloc représentant un mode de réalisation d’un dispositif électronique comprenant un contrôleur d’interruption CI relié au circuit de commande CC, mais configuré dans ce mode de réalisation pour délivrer sur la sortie SCle signal d’interruption de sortie ILACout après plusieurs cycles du signal horloge contrôleur CLK-CI. Par rapport au mode de réalisation de la figure 1, les moyens de commande du circuit de commande CC comportent, outre la porte logique PL2, un étage de commande ETC connecté entre une sortie de interface d’entrée PL1, ici une sortie de la porte OU référencée PL1, et la première entrée E1 de la porte ET référencée PL2. Dans ce mode de réalisation, l’étage de commande ETC est destiné, -d’une part, à mémoriser la présence d’un signal d’interruption ILACin émanant d’un équipement externe, jusqu’à la délivrance du signal d’interruption de sortie ILACout correspondant, et -d’autre part, à délivrer sur la première entrée de la porte PL2, un signal logique EN autorisant la porte PL2 à délivrer le signal d’horloge contrôleur CLK-CI, en fonction de la présence du signal d’interruption ILACin et de la mémorisation du signal d’interruption ILACin. A cet égard, l’étage de commande ETC comporte un moyen de mémoire BSC, ici une bascule, permettant de mémoriser la présence du signal d’interruption ILACin. Le moyen de mémoire est cadencé au rythme du signal d’horloge externe CLK. De plus, l’étage de commande ETC est connecté par une boucle de rétroaction à la sortie SC du contrôleur d’interruption CI. Plus précisément l’étage de commande ETC comporte une porte ET, référencée PL3, ayant une première entrée inversée connectée à la sortie SC du contrôleur d’interruption CI. Une deuxième entrée E4 de la porte ET PL3 est connectée à une sortie SB du moyen de mémoire BSC. La sortie SB de la bascule BSC délivre le signal EN-CTRL. Une sortie de la porte ET PL3, est connectée à une première entrée E5 d’une première porte OU, référencée PL4. Une deuxième entrée E6 de la première porte OU PL4 est connectée à la sortie de l’interface d’entrée PL1. Une sortie de la deuxième première porte OU PL4 est connecté à une entrée EB du moyen de mémoire BSC. Une première entrée E7 d’une deuxième porte OU, référencée PL5, est connectée à la sortie SB du moyen de mémoire BSC et une deuxième entrée E8 de la deuxième porte OU PL5 est connectée à la sortie de l’interface d’entrée PL1. Une sortie de la deuxième porte OU PL5 est connectée à la première entrée E1 de la porte ET PL2. Ainsi, l’étage de commande délivre le signal logique EN sur la première entrée E1 de la porte ET PL2. Tant que le signal logique EN est à l’état haut, la porte PL2 ne coupe pas le signal d’horloge externe CLK, ce qui permet de générer le signal d’horloge contrôleur CLK-CI du contrôleur d’interruption CI. Lorsque le signal logique EN est à l’état bas, la porte PL2 coupe alors le signal d’horloge externe CLK inhibant la délivrance du signal d’horloge contrôleur CLK-CI. On se réfère maintenant plus particulièrement à la figure 4 qui illustre un autre mode de mise en œuvre d’un procédé selon l’invention, sous forme d’un chronogramme temporel relatif au fonctionnement d’un dispositif selon le mode de réalisation décrit en référence à la figure 3. Selon le mode de mise en œuvre présenté ici, le circuit d’interruption CI délivre un signal d’interruption de sortie ILACout, après plusieurs cycles d’un signal d’horloge contrôleur CLK-CI. Des étapes de fonctionnement du dispositif DIS sont exposées ci-après. Le signal d’horloge externe CLK est reçu par l’entrée d’horloge ECK du circuit de commande CC dès lors que le dispositif DIS est en fonctionnement. Le signal d’horloge externe est délivré en continu à la deuxième entrée E2 de la porte ET PL2. Un signal d’interruption ILACin peut être reçu par le circuit de commande CC. Là encore une présence d’un signal d’interruption émis par l’un des équipements externes se traduit par une impulsion à l’état haut du signal ILACin tandis qu’une absence de signal d’interruption se traduit par un état bas du signal. Lorsque le signal d’interruption ILACin est reçu par l’interface d’entrée (état haut du signal ILACin), le signal logique EN passe à l’état haut sur la sortie de la porte OU PL5. Après un cycle du signal d’horloge externe CLK le moyen de mémoire BSC mémorise la présence du signal d’interruption ILACin, et le signal EN-CTRL passe à l’état haut alors que le signal d’interruption ILACin redescend à l’état bas. Par ailleurs, puisque le signal d’interruption de sortie ILACout n’est pas encore délivré, l’entrée inverseuse E3 de la porte PL3 est à l’état haut, de même que l’entrée E4. La sortie de la porte PL3 est à l’état haut ce qui maintient l’entrée EB de la bascule BSC à l’état haut. Le signal EN reste à l’état haut, ne conduisant pas à une coupure du signal d’horloge externe CLK malgré l’absence du signal d’interruption ILACin. Ensuite, le contrôleur d’interruption CI délivre le signal d’interruption de sortie ILACout après plusieurs cycles d’horloge contrôleur. Le signal d’interruption de sortie ILACout est reçu par l’entrée inverseuse de la porte ET PL3 qui passe alors à l’état bas. L’entrée EB de la bascule BSC passe alors à l’état bas et le signal EN-CTRL passe à l’état bas un cycle d’horloge CLK plus tard en coïncidence avec la retombée à l’état bas du signal ILACout, et conduisant au passage à l’état bas du signal EN et donc à une coupure du signal d’horloge externe CLK para porte ET PL2. Le signal d’horloge contrôleur CLK-CI est généré pendant toute la durée durant laquelle le signal logique EN est à l’état haut. Le signal logique EN est à l’état haut depuis l’occurrence du signal d’interruption ILACin et tant que le signal d’interruption de sortie ILACout correspondant n’a pas été délivré. En d’autres termes, là encore, on génère automatiquement le signal d’horloge contrôleur CLK-CI à partir du signal d’horloge externe CLK en présence dudit signal d’interruption ILACin et jusqu’à la délivrance du signal d’interruption de sortie ILACout. La figure 5 illustre un microcontrôleur MCU comportant notamment un domaine non sécurisé et un domaine sécurisé. Le microcontrôleur peut être de la famille des microcontrôleurs référencés STM32 au sein de la société STMicroelectronics. Le domaine non sécurisé incorpore ici par exemple un cœur de traitement non sécurisé CPU, tel qu’un microprocesseur, contenant un code programme non sécurisé ainsi qu’un équipement non sécurisé EQ2NS (un seul équipement non sécurisé a été représenté pour des raisons de simplification mais plusieurs équipements non sécurisés peuvent bien entendu être prévus). Le domaine sécurisé incorpore au moins un cœur de traitement sécurisé CPUS contenant un code programme sécurisé de même que le dispositif DIS décrit en référence à la figure 1 ou à la figure 3 et incorporant le contrôleur d’interruption considéré comme sécurisé. Le domaine sécurisé comporte également un équipement sécurisé externe EQ1S (un seul équipement sécurisé a été représenté pour des raisons de simplification mais plusieurs équipements sécurisés peuvent bien entendu être prévus). Les cœurs de traitement CPU, CPUS, le dispositif DIS et les équipements externes sécurisés ou non sont interconnectés par un réseau d’interconnexion ITC de structure classique et connue en soi. A chaque équipement sécurisé ou non est associé un module de contrôle MS1, MS2 ainsi qu’un registre RG1, RG2 destiné à contenir une information indiquant si l’équipement correspondant est sécurisé ou non. Le module de contrôle MS1 est configuré pour délivrer un signal de faute de sécurité (signal d’interruption) dans le cas d’une tentative d’accès par le cœur de traitement non sécurisé CPU au premier équipement sécurisé externe EQ1S. En effet le module de contrôle MS1va comparer le contenu du registre RG1 avec un champ de la transaction destinée à l’équipement EQ1S, ce champ contenant une indication représentative d’une transaction non sécurisée. La faute de sécurité émise est envoyée au dispositif DIS. Le contrôleur d’interruption sécurisé de ce dispositif délivre ensuite un signal d’interruption de sortie au cœur de traitement sécurisé CPUS. Dispositif électronique, comportant -un contrôleur d’interruption (CI) possédant une entrée (EC) pour recevoir un signal d’horloge contrôleur (CLK-CI), une sortie (SC) et configuré pour délivrer un signal d’interruption de sortie (ILACout) sur ladite sortie (SC) en présence dudit signal d’horloge contrôleur (CLK-CI), et -un circuit de commande (CC) possédant, une interface d’entrée pour recevoir au moins un signal d’interruption (ILACin) susceptible d’émaner d’au moins un équipement externe (EQ1, EQ2, EQ3) au dispositif, une entrée d’horloge (ECK) pour recevoir un signal d’horloge externe (CLK), et des moyens de commande connectés à l’interface d’entrée et à l’entrée d’horloge (ECK) et configurés pour générer automatiquement le signal d’horloge contrôleur (CLK-CI) à partir du signal d’horloge externe (CLK) en présence dudit au moins un signal d’interruption (ILACin) et jusqu’à une délivrance du signal d’interruption de sortie (ILACout) correspondant. Dispositif selon la revendication 1, dans lequel l’interface d’entrée est configurée pour recevoir plusieurs signaux d’interruption respectivement susceptibles d’émaner de plusieurs équipements externes différents (EQ1, EQ2, EQ3) et les moyens de commande sont configurés pour générer automatiquement le signal d’horloge contrôleur (CLK-CI) à partir du signal d’horloge externe (CLK) en présence de l’un au moins des signaux d’interruption. Dispositif selon la revendication 2, dans lequel l’interface d’entrée comporte une porte OU (PL1) ayant des entrées destinées à recevoir lesdits plusieurs signaux d’interruption, et une sortie connectée aux moyens de commande. Dispositif selon l’une des revendications précédentes, dans lequel les moyens de commande comportent des moyens logiques possédant des premiers moyens d’entrée connectés à l’interface d’entrée et des deuxièmes moyens d’entrée connectés à l’entrée d’horloge (ECK) et configurés pour commander par porte ledit signal d’horloge externe (CLK) pour générer automatiquement ou non le signal d’horloge contrôleur (CLK-CI) par non coupure ou coupure du signal d’horloge externe. Dispositif selon la revendication 4, dans lequel les moyens logiques comportent une porte ET (PL2) possédant une première entrée (E1) formant les premiers moyens d’entrée et une deuxième entrée (E2) formant les deuxièmes moyens d’entrée. Dispositif selon la revendication 4 ou 5, dans lequel le contrôleur d’interruption (CI) est configuré pour délivrer le signal d’interruption de sortie (ILACout) en un cycle du signal d’horloge contrôleur (CLK-CI), et les premiers moyens d’entrée desdits moyens logiques sont connectés directement à l’interface d’entrée, de façon à délivrer sur les premiers moyens d’entrée des moyens logiques au moins un signal d’interruption (ILACin) autorisant la génération du signal d’horloge contrôleur (CLK-CI) lors de l’occurrence de ce signal d’interruption (ILACin) et inhibant la délivrance du signal d’horloge contrôleur (CLK-CI) par coupure du signal d’horloge externe (CLK) après l’occurrence du signal d’interruption (ILACin). Dispositif selon la revendication 4 ou 5, dans lequel le contrôleur d’interruption (CI) est configuré pour délivrer le signal d’interruption de sortie (ILACout) en plusieurs cycles du signal d’horloge contrôleur (CLK-CI), et les moyens de commande comportent un étage de commande (ETC) connecté entre l’interface d’entrée, les premiers moyens d’entrée des moyens logiques et la sortie du contrôleur d’interruption (CI), l’étage de commande étant configuré pour délivrer sur les premiers moyens d’entrée des moyens logiques un signal logique (EN) autorisant la génération du signal d’horloge contrôleur (CLK-CI) lors de l’occurrence d’au moins un signal d’interruption (ILACin) tant que le signal d’interruption de sortie (ILACout) correspondant n’a pas été délivré et inhibant la délivrance du signal d’horloge contrôleur (CLK-CI) par coupure du signal d’horloge externe (CLK) une fois que ledit signal d’interruption de sortie (ILACout) a été délivré. Dispositif selon la revendication 7, dans lequel l’étage de commande (ETC) comporte un moyen de mémorisation (BSC), contrôlé par le signal d’horloge externe (CLK) et configuré pour mémoriser la présence d’au moins un signal d’interruption (ILACin) jusqu’à la génération du signal d’interruption de sortie (ILACout). Dispositif selon la revendication 8, dans lequel l’étage de commande (ETC) comporte une porte ET (PL3) ayant une première entrée (E3) inversée connectée à la sortie du contrôleur d’interruption (CI) et une deuxième entrée (E4) connectée à la sortie (SB) du moyen de mémoire (BSC). Dispositif selon l’une des revendications précédentes, dans lequel ledit contrôleur d’interruption (CI) est un contrôleur d’interruption sécurisé et ledit au moins un signal d’interruption est au moins un signal de faute de sécurité. Microcontrôleur, comprenant un domaine non sécurisé incorporant un cœur de traitement non sécurisé (CPU) contenant un code programme non sécurisé, un domaine sécurisé incorporant au moins un cœur de traitement sécurisé (CPUS) contenant un code programme sécurisé, et un dispositif selon la revendication 10 configuré pour délivrer le ou les signaux d’interruption de sortie (ILACout) éventuels au cœur de traitement sécurisé (CPUS), et au moins un équipement sécurisé externe (EQS1, EQS3) audit dispositif, et un module de contrôle associé (MS1, MS3) audit au moins un équipement externe sécurisé et configuré pour délivrer le signal de faute de sécurité audit dispositif en cas d’une tentative d’accès audit au moins un équipement sécurisé (EQS1, EQS3) par le cœur de traitement non sécurisé (CPU). Procédé de gestion d’un contrôleur d’interruption (CI), comprenant : -une réception d’au moins un signal d’interruption (ILACin); -une réception d’un signal d’horloge externe (CLK); -une délivrance d’un signal d’horloge contrôleur (CLK-CI) sur une entrée du contrôleur d’interruption en présence duquel le contrôleur d’interruption (CI) délivre un signal d’interruption de sortie (ILACout), procédé dans lequel on génère automatiquement le signal d’horloge contrôleur (CLK-CI) à partir du signal d’horloge externe en présence dudit au moins un signal d’interruption (ILACin) et jusqu’à la délivrance du signal d’interruption de sortie (ILACout). Procédé selon la revendication 12, comprenant une réception de plusieurs signaux d’interruption (ILACin) respectivement et une génération automatique du signal d’horloge contrôleur (CLK-CI) à partir du signal d’horloge externe (CLK) en présence de l’un au moins desdits signaux d’interruption (ILACin). Procédé selon l’une des revendications 12 ou 13 dans lequel la génération ou non du signal d’horloge contrôleur (CLK-CI) comprend une commande par porte du signal d’horloge externe (CLK) ne coupant pas ou coupant le signal d’horloge externe (CLK). Procédé selon la revendication 14, dans lequel le contrôleur d’interruption délivre le signal d’interruption de sortie (ILACout) en un cycle du signal d’horloge contrôleur (CLK-CI), et on génère le signal d’horloge contrôleur (CLK-CI) lors de l’occurrence d’un signal d’interruption (ILACin) en ne coupant pas le signal d’horloge externe (CLK) et on inhibe la délivrance du signal d’horloge contrôleur par coupure du signal d’horloge externe (CLK) après l’occurrence du signal d’interruption (ILACin). Procédé selon la revendication 14, dans lequel le contrôleur d’interruption délivre le signal d’interruption de sortie (ILACout) en plusieurs cycles du signal d’horloge contrôleur (CLK-CI), et on génère le signal d’horloge contrôleur (CLK-CI), en ne coupant pas le signal d’horloge externe (CLK), lors de l’occurrence d’au moins un signal d’interruption (ILACin) tant que le signal d’interruption de sortie (ILACout) correspondant n’a pas été délivré et on inhibe la délivrance du signal d’horloge contrôleur (CLK-CI) par coupure du signal d’horloge externe (CLK) une fois que ledit signal d’interruption de sortie (ILACout) a été délivré.