FR 2779264 A1 19991203 FR 9806860 A 19980527 DISPOSITIF A PROGRAMATION UNIQUE DE FIABILITÉ ÉLEVÉE La présente invention concerne les dispositifs à pro- granmation unique ou OTP utilisés en micro-électronique, et plus particulièrement de tels dispositifs utilisant des fusibles semi- conducteurs. Les dispositifs à programmation unique utilisant des fusibles semiconducteurs ont de nombreuses applications en micro- électronique. Ils sont par exemple utilisés pour court-circuiter des résistances d'une chaîne de résistances mises en série pour ajuster une tension de référence dans un circuit intégré. De tels dispositifs à programmation unique peuvent également être utili- sés pour mémoriser de façon permanente dans un circuit intégré, après sa fabrication, des données permettant d'identifier le cir- cuit depuis l'extérieur, ou nécessaires au fonctionnement du circuit. On a représenté en figure 1 une portion 10 d'un circuit intégré comprenant un dispositif 20 à progranmmnation unique clas- sique. Le dispositif 20 comprend une porte logique 22 et un fusi- ble 24. La porte logique 22 reçoit un signal de sélection S pro- venant d'un dispositif de sélection 26 et un signal de program- mation P. Le fusible 24 est disposé entre la sortie F de la porte logique 22 et une sortie O. Par fusible, on entend ici un dispo- sitif comprenant un élément fusible, des moyens pour faire fondre l'élément fusible, généralement par surintensité, et des moyens pour produire une sortie O binaire indiquant que l'élément fusi- ble est fondu ou non. La structure de ce dispositif est bien connue de l'état de la technique et n'est pas détaillée ici. Pour programmer le dispositif 20, on active le signal S qui sélectionne le dispositif 20, et on active le signal de programmation P. Alors, la porte logique 22 produit un signal F qui provoque la fusion du fusible 24. Le dispositif de sélection 26 est généralement commandé par un signal de cCTmnande extérieur C. Un dispositif classique, tel que représenté en figure 1, présente plusieurs inconvénients notables. Il peut arriver que le fusible 24 ne fonde pas complètement lorsqu'il reçoit le signal F. Ainsi, dans certains cas, le fusible peut produire une valeur incorrecte après programmation. En pratique, la probabi- lité d'insuccès est d'environ 1%. Lorsqu'un fusible est incomplè- tement fondu, il est difficile de le faire fondre complètement par une seconde programmation, car sa résistance est alors trop élevée pour atteindre l'énergie de fusion avec la tension de programmation admissible. Il arrive par ailleurs qu'un fusible 24 convenablement fondu, c'est-àdire non conducteur, redevienne conducteur avec le temps, par recombinaison des éléments fondus. La probabilité d'une telle recombinaison est de l'ordre de 1%. De plus, le circuit 10 peut être soumis à des décharges électrostatiques qui peuvent, dans certaines conditions, activer simultanément les signaux P et S. L'élément 20 peut dans de telles circonstances se retrouver programmé de manière intempes- tive. Enfin, lorsqu'on utilise un dispositif à programmation unique tel que celui de la figure 1 pour des réglages, par exem- ple pour court-circuiter des résistances d'une chaîne de résis- tances permettant de déterminer une tension de référence, il peut être souhaitable de disposer d'un moyen de connaître l'effet de la programmation du dispositif 20 avant de le programmer effectivement. La combinaison des inconvénients que l'on vient de men- tionner fait juger les dispositifs à fusibles semiconducteurs peu fiables par l'homme du métier. Cela entraîne par exemple que de tels dispositifs ne sont pas employés dans des applications pour lesquelles une grande fiabilité de programmation est indispen- sable. Dans de telles applications on a alors recours à des moyens de programmation plus complexes. Un objet de la présente invention est de prévoir un dispositif à programmation unique à fusible dont la programmation soit particulièrement fiable. Un autre objet de la présente invention est de prévoir un tel dispositif qui soit protégé des décharges électrostatiques. Enfin, un autre objet de la présente invention consiste à prévoir un tel dispositif associé à des moyens permettant de connaître l'effet de la programmation avant de réaliser la pro- grammation. Pour atteindre ces objets, ainsi que d'autres, la pré- sente invention prévoit un dispositif à programmation unique comprenant trois fusibles connectés en parallèle à un élément logique qui détermine que ledit dispositif est programmé lorsque au moins un desdits fusibles est coupé. Selon un mode de réalisation de l'invention, ledit dis- positif comprend des moyens pour vérifier la programmation des fusibles et déclarer le dispositif inapte si moins de deux fusi- bles sont coupés. Selon un mode de réalisation de l'invention, ledit dis- positif est programmable par un signal de programmation. Selon un mode de réalisation de l'invention, l'élément logique est prévu pour indiquer un état programmé du dispositif lorsqu'il reçoit une commande de test. Selon un mode de réalisation de l'invention, ledit dis- positif comprend un circuit pour empêcher que ledit signal de programmation soit produit par une décharge électrostatique. Ces objets, caractéristiques et avantages, ainsi que d'autres de la présente invention seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non-limitatif en relation avec les figures jointes, parmi lesquelles: la figure 1, précédemment décrite, représente schémati- quement une partie d'un circuit intégré comportant un dispositif à programmation unique selon l'état de la technique; la figure 2 représente schématiquement une partie d'un circuit intégré comprenant un premier mode de réalisation d'un dispositif à programmation unique selon la présente invention; et la figure 3 représente schématiquement une partie d'un circuit intégré comprenant un second mode de réalisation d'un dispositif à programmation unique selon la présente invention. La présente invention propose, pour éviter les inconvé- nients de fiabilité d'un dispositif à fusible simple, un disposi- tif à fusibles redondants. Une solution immédiate pour réaliser cette redondance serait de connecter les fusibles en série. Un dispositif utilisant des fusibles redondants connectés en série serait particulièrement fiable, mais l'opération de fonte des fusibles serait difficile à mettre en oeuvre et les dispositifs permettant cette opération seraient particulièrement coûteux en surface. Selon l'invention on propose au contraire d'utiliser les fusibles redondants en parallèle. En figure 2, un circuit intégré 10 comprend un disposi- tif à progranmmation unique 21 selon l'invention. Ce dispositif 21 comprend trois fusibles 24a, 24b et 24c de type classique, pro- duisant respectivement trois signaux de sortie Oa, 0b et 0c. Le dispositif 21 comprend également une porte logique 22 à deux entrées. La porte logique 22 est semblable à celle qui est décrite en relation avec la figure 1: elle reçoit des signaux P de commande et S de sélection et produit un signal de programma- tion F lorsque les signaux P et S sont tous deux activés. Le signal de sélection S est également produit comme en figure 1 par un dispositif de sélection 26. Enfin, le dispositif 21 comprend une porte logique 28 qui reçoit les signaux de sortie 0a, 0b et Oc des fusibles 24a, 24b et 24c. La porte 28 produit un signal binaire O qui est actif, c'est-à-dire correspond à un état programmé, si l'un au moins des trois signaux 0a, 0b et 0c est actif, c'est-à-dire si au moins un des trois fusibles est fondu. On programme le dispositif 21 en faisant fondre de ma- nière classique les trois fusibles 24a, 24b et 24c. Un seul fusi- ble convenablement fondu suffit à garantir une programmation convenable. Si on note p la probabilité pour qu'un fusible soit convenablement fondu, la probabilité pour qu'au moins un fusible parmi les trois soit fondu est de p3+3(1-p)p2+3(1-p)2p. Si p=0,99, la probabilité de programmer convenablement le dispositif 21 est 0,999997, ce qui le rend apte à de nombreuses applications qui ne sont pas envisageables avec des dispositifs classiques à simple fusible. De même, si on note q la probabilité pour qu'un fusible fondu redevienne conducteur par recombinaison, la probabilité pour que les trois fusibles fondus redeviennent tous conducteurs est égale à q3, et la probabilité pour que deux fusibles fondus redeviennent tous deux conducteurs est de q2. Ainsi, la probabi- lité pour qu'un dispositif 21 programmé convenablement revienne dans un état non programmé est: p3q3+3(1-p)p2q2+3(l-p)2pq. Si p est égal à 0,99 et q est égal à 0,01, on obtient une valeur de 6,8-10-6, contre 9,9.10-3 pour un dispositif classi- que à un seul fusible. De préférence, pour augmenter la fiabilité à long terme de la programmation d'un élément 23, on prévoit de vérifier qu'au moins deux des fusibles 24a à 24c sont convenablement fondus. On effectue cette vérification par une mesure classique de courants de fuite au moyen d'un appareillage de test externe 25 ou par un dispositif interne de test automatique (BIST), non représenté. Si ces mesures permettent de déterminer qu'au moins deux des trois fusibles ont effectivement fondu, l'utilisateur ou, le cas échéant, le dispositif de test automatique, détermine que le dis- positif 23 a été programmé avec succès. Si moins de deux fusibles ont fondu lors de la programmation, le dispositif 23 sera consi- déré comme incorrectement programmé. Il faudra alors envisager de ne pas l'utiliser, comme dans le cas d'un dispositif classique mal programmé. Dans ce cas, si on note p la probabilité pour qu'un fusible soit convenablement fondu, la probabilité pour qu'au moins deux fusibles parmi les trois soient convenablement fondus, c'est-à-dire la probabilité pour que le dispositif soit considéré comme convenablement programmé, est y = p3+3(1-p)p2. Si p=0,99, on obtient y=0,9997. Dans le cas o la programmation du dispositif 23 n'a fait fondre effectivement que deux fusibles, il faudra que chacun de ces deux fusibles redevienne conducteur, par exemple par re- combinaison, pour que la sortie O de la porte 28 change et n'indique plus que le dispositif 23 est programmé. Dans le cas o la programmation du dispositif 23 a fait fondre les trois fusibles, chacun des trois fusibles devra rede- venir conducteur pour que la porte 28 n'indique plus une program- mation du dispositif 23. Ainsi, la probabilité r pour qu'un dispositif 23 consi- déré comme convenablement programmé revienne dans un état non programmé est telle que r = p3q3+3(1-p)p2q2. Si on reprend p égal à 0,99 et q égal à 0,01, r est égal à 3,9.10-6. On remarque que l'on obtient ainsi une meilleure fiabilité encore que dans le cas décrit précédemment o on ne vérifie pas qu'au moins deux fusibles ont fondu lors de la pro- grammation. Le dispositif représenté en figure 2 implique une fusion simultanée des trois fusibles 24a à 24c, ce qui demande de disposer d'un fort courant lors de la programmation du dispositif 21. Cela n'est pas forcément facile à réaliser dans un circuit intégré. On propose donc de faire fondre les fusibles 24a à 24c séparément. La figure 3 représente un mode de réalisation de dispo- sitif à programmation unique 23 permettant cela. Dans ce mode de réalisation, contrairement à celui de la figure 2, chaque fusible 24 (24a, 24b, 24c) reçoit la sortie F (Fa Fb, Fc) d'une porte 22 respective (22a, 22b, 22c), chaque porte 22 recevant un signal unique P de programmation et un signal S de sélection respectif (Sa, Sb, Sc). Chaque porte 22 (22a, 22b, 22c) fournit au fusible 24 (24a, 24b, 24c) correspondant un signal de commande F (Fa, Fb, Fc) lorsque le signal S (Sa, Sb, Sc) correspondant et le signal P sont tous deux activés. Les signaux de sélection Sa, Sb, Sc sont produits par un dispositif de sélection 27 recevant une commande extérieure C. Ce dispositif de sélection 27 est prévu pour activer séquentiel- lement les signaux Sa à Sc lors d'une activation du signal C. Ainsi, en activant en même temps les signaux C et P, les trois fusibles 24 sont fondus l'un après l'autre avec un appel de cou- rant minimal. Le dispositif 23 est de préférence muni d'un élément de protection contre les décharges électrostatiques 30 entre le signal extérieur de programmation P et les portes logiques 22a à 22c. L'élément de protection 30 reçoit le signal P et produit un signal PI correspondant au signal reçu P filtré, c'est-à-dire débarrassé d'éventuelles composantes parasites introduites par une décharge électrostatique. Ainsi, lorsque le circuit 10 subit une décharge électrostatique, le signal de programmation PI reste inactivé et aucune programmation intempestive ne peut avoir lieu. Dans un dispositif à programmation unique classique, on ne dispose pas de moyens pour connaître à l'avance l'effet de la programmation du dispositif. Ainsi, une fois le dispositif pro- grammé, si l'effet de la programmation provoque une réaction inattendue du circuit, il est trop tard pour revenir en arrière et le circuit ne fonctionnera pas de la manière souhaitée. Pour éviter cela, dans le mode de réalisation repré- senté en figure 3, on fournit au dispositif 23 un signal de test T, produit par des moyens internes (non représentés) ou provenant de l'extérieur du circuit 10. Ce signal T est fourni à la porte logique 28. La porte logique 28 est prévue pour, lorsqu'elle reçoit le signal de test T, activer le signal O conmme si le dis- positif 23 était programmé. Ainsi, lorsque le dispositif 23 sert par exemple à ajuster un paramètre du circuit 10, on pourra, avant de programmer le dispositif définitivement, juger de l'ef- fet de cette programmation sur l'ajustement de ce paramètre. On remarquera que les avantages du dispositif à pro- grammnation unique selon la présente invention sont à mettre en balance avec un accroissement sensible de surface par rapport à un dispositif à programmation unique classique. Cependant, cet accroissement de taille est compensé par le fait qu'on peut désormais utiliser ce dispositif pour de nombreuses applications dans lesquelles la fiabilité des dispositifs à programmnation uni- que classique était insuffisante. On peut citer les circuits électroniques impliqués dans des systèmes de sécurité automobile, par exemple pour contrôler la pression des pneumatiques. Bien sûr, la présente invention est susceptible de nom- breuses variantes et modifications qui apparaîtront à l'homme du métier. Par exemple, on pourrait insérer un élément de protection contre les décharges électrostatiques directement au niveau de l'entrée de chacune des portes logiques 22a, 22b et 22c. REVENDICATIONS 1. Dispositif à programmation unique caractérisé en ce qu'il comprend trois fusibles (24a, 24b, 24c) connectés en paral- lèle à un élément logique (28) qui détermine que ledit dispositif est programmé lorsque au moins un desdits fusibles est coupé. 2. Dispositif à programmation unique selon la revendi- cation 1, caractérisé en ce qu'il comprend des moyens (25) pour vérifier la programmation des fusibles et déclarer le dispositif inapte si moins de deux fusibles sont coupés. 3. Dispositif à programmation unique selon la revendi- cation 1, caractérisé en ce qu'il est programmable par un signal de programmation (P). 4. Dispositif à programmation unique selon la revendi- cation 1, caractérisé en ce que l'élément logique est prévu pour indiquer un état programmé du dispositif lorsqu'il reçoit une commande de test (T). 5. Dispositif à programmation unique selon la revendi- cation 1, caractérisé en ce qu'il comprend un circuit (30) pour empêcher que ledit signal de programmation soit produit par une décharge électrostatique.