FR 2538192 A1 19840622 FR 8221361 A 19821220 GENERATEUR DE SEQUENCES NUMERIQUES PSEUDOALEATOIRES La présente invention concerne un générateur de séquences numériques pseudoaléatoires applicable essentiellement à la réalisation d'un générateur d'adresses pseudoaléatoires pour le chiffrage d'images de-télévision. Le principe du chiffrage d'images de télévision consiste à effectuer une coupure de chaque ligne d'image en un point dont l'adresse est aléatoire, puis à réaliser une permutation circulaire des segments situés de part et d'autre du point de coupure. Ce principe de chiffrage a été décrit dans la demande de brevet français n0 78 21 888 déposée le 20 juillet 1978 au nom de l'Etablissement Public de Diffusion dit "Télédiffusion de France" dans le cas où il s'applique à un signal vidéo noir et blanc ou couleur composite à multiplexage en fréquences, de type SECAM, PAL ou NTSC par exemple.La demande de brevet français n0 82 15 533 déposée le 14 septembre 1982 au nom de la société La Radiotechnique décrit une application nouvelle de ce principe à un signal vidéo couleur à multiplexage temporel des composantes analogiques, de type MAC par exemple. Dans ce dernier cas, les différentes composantes sont traitées séparémentt c'est-à-dire subissent chacune séparément les opérations de coupure et de permutation. Les adresses de points de coupure à fournir doivent alors être en nombre égal à celui des composantes : deux dans le cas du codage MAC (la luminance Y et, alternativement, l'une ou l'autre des composantes de différence de couleur U et V), trois dans le cas où l'on transmet à chaque ligne les trois composantes Y, U et V, etc... Les adresses des points de coupure sont fournies par un générateur de séquences numériques pseudo-aléatoires fonctionnant avec une horloge à la fréquence ligne et varient donc pseudo-aléatoirement d'une ligne à la suivante. Des générateurs identiques sont utilisés à l'émission et à la réception, et la synchronisation entre émission et réception peut se faire soit à chaque trame image, soit après un nombre entier de trames (toutes les 50 trames par exemple, c'est-à-dire toutes les secondes en Europe), en prévoyant une impulsion de synchronisation transmise par ltémetteur dans une ligne spéciale de l'image (la dernière ligne d'une trame par exemple) ou dans la voie de transmission des données pendant les retours de trame (voir les systèmes dits Teletext, DIDON, etc). Les générateurs utilisés a' l'émission et à la réception sont initialisés par une clé de départ, comportant un certain nombre nd de bits, et l'utilisateur peut soit acheter directement cette clé sous forme d'une carte de clé passive, soit acheter le moyen de déchiffrer une clé chiffrée transmise par l'émetteur dans la voie de diffusion de données. Cette dernière solution permet un changement aussi fréquent que lton veut de la clé et donc une plus grande sécurité# du système, mais implique, à la réception, l'emploi d'un circuit d'initialisation actif utilisant une carte d'accès passive ou active (à mémoire ou à microprocesseur). Lorsqu'on veut réaliser un système de chiffrage d'images de télévision, il est très important de tenir compte des propriétés de l'oeil en matière de reconnaissance de formes. On constate par exemple que, si les lignes d'image sont décalées l'une par rapport à l'autre de moins de 1 cm pour une image de largeur totale 52 cm (il s'agit là de la largeur donnée par les téléviseurs actuels utilisant des tubes cathodiques de 66 ou 67 cm de diagonale), l'image est parfaitement interprétable et ntapparalt que comme simplement floue lorsqu'elle est observée à une distance suffisante.Si les adresses de coupure sont au contraire telles que les décalages de ligne qu'elles entraînent ont des valeurs de l'ordre de 2 à 30 cm, réparties de façon erratique, l'image apparat comme étalée sur toute sa largeur et difficilement interprétable. Mais si, en moyenne, le même décalage se reproduit plus de 10 % du temps, l'oeil est capable, dans le cas d'images à structure simple (un gros plan par exemple), de reconnaitre cette image qui apparaît sur un fond brouillé. On déduit de cette dernière remarque que le nombre de positions de points de coupure possibles doit être nettement supérieur à 10 pour qu'aucune des positions n'ait plus de 10 % de chances d'être occupée. Il faudrait donc exprimer les adresses avec des séquences numériques ayant un nombre de bits significatifs indépendants égal au moins à 4.Par ailleurs, la première remarque montre qu'il n'est pas nécessaire, du simple point de vue de l'observation visuelle, que le nombre de bits de ces séquences dépasse 6, puisque 52 cm/26 = 0,8 cm. Un premier objet de l'invention est donc de proposer un générateur de séquences numériques pseudoaléatoires pouvant fournir des adresses d'au moins 4 bits avec des probabilités d'adresses identiques inférieures à 10 %, ces adresses étant en même temps beaucoup plus difficiles à décrypter, lorsqu'on ne connaît pas la clé, que celles fournies par les générateurs connus jusqu'à présent. Un générateur de séquences numériques pseudoaléatoires classique comprend en effet, dans sa version la plus simple, un registre à décalage à n étages numérotés de 1 à n de l'entrée vers la sortie (voir la figure 1), comportant au moins une sortie intermédiaire de rang k dont le résultat de l'addition modulo 2 avec la sortie de rang n est rebouclé à l'entrée. Le polynôme générateur de ce circuit s'écrit xn + xn-k + xn#k'... + 1 0 O (1) Lorsque ce polynôme est irréductible et primitif, le générateur délivre une séquence pseudo-aléatoire de longueur maximale égale à 2n - 1, qui comprend toutes les combinaisons possibles de n bits à l'exception de celle composée de n zéros consécutifs qui provoquerait le blocage du système, celui-ci ne délivrant plus que des zéros. L'utilisation de ce type de générateur présente cependant deux inconvénients en matière d'efficacité du chiffrage (1) pour obtenir une adresse comportant un nombre R de bits égal au moins à 4, il faut soit prévoir un nombre R de sorties du registre en utilisant des prises intermédiaires, soit faire fonctionner le registre avec une horloge dont la fréquence est égale au produit de R par la fréquence ligne fQ. Dans les deux cas, les sorties successives, spatiales ou temporelles, sont très fortement corrélées puisqu'elles se déduisent les unes des autres par une simple translation dans le registre, ce qui facilite beaucoup le décryptage lorsqu'on ne connaît pas la clé.On peut remarquer que, lorsque R est inférieur ou égal au nombre de cellules n du registre et lorsqu'il n'est pas un diviseur de la longueur 2P1 de la séquence, les deux solutions, spatiale et temporelle, sont équivalentes car, en R séquences successives, chaque sortie temporelle fournit tous les bits de la séquence.On aura tout intérêt, en général, à utiliser une solution spatiale qui demande la fréquence d'horloge la plus basse, égale à la fréquence de balayage ligne 4 (2) on peut retrouver la séquence complète fournie par un générateur de séquences pseudoaléatoires de ce type en résolvant un système de n équations linéaires à n inconnues lorsque l'on connaît n valeurs d'adresses, ce qui peut se faire si l'on réussit à identifier la position de n lignes dans l'image, en repérant par exemple un élément d'image comportant un trait vertical bien isolé. Pour remédier à ce dernier inconvénient, il est possible d'utiliser des opérations non linéaires en plus de l'addition modulo 2 (voir l'article de P.R. Geffe, "How to protect data with ciphers that are really-hard to break", paru dans la revue Electronics, 4 janvier 1973, pages 99 à 101). Une version particulièrement intéressante d'un tel circuit, appelée générateur de Geffe et décrite notamment dans l'article de E.L. Key, "An analysis of the structure and complexity of nonlinear binary sequence generators", paru dans la revue IEEE Transactions on Information Theory, volume IT-22, n 6, novembre 1976, pages 732 à 736, consiste à utiliser trois registres A, B, C, en se servant par exemple de la sortie a du premier registre pour commuter la sortie du système soit sur la sortie b du deuxième registre, soit sur la sortie c du troisième. La figure 2a représente ce générateur dont l'équation logique peut s'écrire S = ab + ac (2) (on rappelle en figure 2b les tables de vérité des principales opérations logiques : addition-logique a + b, produit logique ab, et addition modulo 2 ou OU exclusif a e b, cette dernière opération pouvant s'écrire a e b = ab + ab en notant a et b les compléments à 1 de a et b). Ce générateur de Geffe présente deux avantages importants. D'une part, sa sortie comporte une distribution moyenne égale de O et de 1, ce qui est très rarement le cas lorsqu'on introduit des opérations logiques de type produit. D'autre part, pour décrypter ce dispositif sans connaître la clé, il faudrait résoudre un système de nd équations, avec nd = na + nb + nc (na, nb, nc désignant le nombre d'étages des registres A, B et C respectivement), mais ces équations sont non linéaires et la résolution du système est difficile. il a bien été démontré, dans l'article de E.L. Key déjà cité, que ces nd équations non linéaires pouvaient être ramenées à un système d'équations linéaires, mais dont le nombre est voisin de na(nb + nc), nombre beaucoup plus grand que nd = na + nb + nc. L'application d'un générateur de Geffe à la réalisation d'un générateur d'adresses pseudoaléatoires pour le chiffrage d'images de télévision présente par ailleurs un avantage supplémentaire en ce sens qu'un dispositif comprenant plusieurs génerateurs simples est beaucoup plus intéressant qu'un dispositif à un seul générateur simple comportant le même nombre total nd d'étages. En effet, au lieu de disposer de nd sorties corrélées, on dispose de trois jeux non corrélés de sorties que l'on peut combiner entre elles. Bien entendu, pour qu'un générateur de Geffe soit d'efficacité maximale, les polynômes générateurs des trois registres A, B, C doivent être irréductibles et primitifs, de façon que les séquences de bits a, b, c soient de loagueurs,maximales , cnest-à-dire égales respectivement à 2 a-1, 2 b~1, 2nc-1, 2 b~1, ces trois longueurs devant en outre etre premières entre elles pour que la longueur d'une séquence pseudoaléatoire, combinaison de bitsna, b et c, soit maximale et égale à (2na-1).(2nb-1). (2nc-1)produit dont la valeur est de l'ordre de grandeur de 2 . Les longueurs nc, nb, na des trois registres peuvent par exemple être choisies égales respectivement à - 3, 4, 5, lorsqu'on a une clé de 12 bits, la longueur de la séquence étant alors voisine de 3 000 - 3 4, 7, lorsqu'on a une clé de 14 bits, la longueur de la séquence étant alors voisine de 13 000 - 3, 5, 7, lorsqu'on a une clé de 15 bits, la longueur de la séquence étant alors voisine de 27 000 - 3, 5, 8 ou 4, 5, 7, lorsqu'on a une clé de 16 bits, la longueur de la séquence étant alors voisine de 60 000 - 4, 5, 9 ou 5, 6, 7, lorsqu'on a une clé de 18 bits, la longueur -de la séquence étant alors voisine de 240 000 - 4, 5, 11 ou 5, 7, 8, lorsqu'on a une clé de 20 bits, la longueur de la séquence étant alors voisine de 1 000 000. L'emploi de générateurs de Geffe combinant les différentes sorties de trois mêmes registres A, B, C pour générer les R bits d'adresses des points de coupure pour chiffrer une image de télévision (avec R supérieur ou égal à 4) présente cependant un inconvénient important : en raison des propriétés de l'oeil en.ma tière de reconnaissance de formes, et en particulier de sa capacité d'identifier une image dont la probabilité de présence est supérieure à 10 % environ, on peut décrypter, par approximations successives, le dispositif en cherchant d'abord par essais successifs les (nb + nc) bits correspondant au mot de chargement initial des registres B et C. Cette affirmation peut être vérifiée en prenant un exemple, celui d'une clé de 16 bits, en choisissant na = 7, nb = 5 nc = 4 de façon que l'ordre de complexité des généra teurs de Geffe soit de l'ordre de : 7 (4 + 5) = 63. On suppose que l'on connaît les 9 bits de la clé correspondant au mot de départ des registres B et C (4 bits et 5 bits respectivement), et que la sortie du générateur A est inconnue. Pour un bit d'adresse donné, on a donc une chance sur deux d'avoir à la réception la même sortie a qu'a l'émission (et donc d'avoir identité du bit d'adresse correspondant), mais également une chance sur deux que ces bits a soient opposés, ce qui veut dire qu'à l'émission le bit d'adresse choisi est par exemple un bit b, alors que celui choisi à' la réception est un bit c.Comme ces deux bits ne sont pas corrélés, on a une chance sur deux qu'ils soient identiques. En moyenne, on a donc, pendant la moitié du temps, une probabilité d'identité de 1 et, pendant l'autre moitié du temps, une probabilité d'identité de 1/2, ce qui donne une probabilité d'identité moyenne égale à 3/4 pour un bit d'adresse. Dans ce cas de R bits-d'adresse calculés à partir de R générateurs de Geffe utilisant des sorties différentes des mêmes trois registres A, B, C, la probabilité d'identité d'une même adresse est donc égale à (5)R. Comme on a vu plus haut, d'après les propriétés de l'oeil, que le nombre de bits d'adresse significatifs était au plus égal à 6, la probabilité maximale d'identité d'adresse ne peut pas descendre en pratique en dessous de 4)6 = 0,18, ce qui donne un image parfaitement identifiable par l'oeil. En pratique, la situation est encore plus mauvaise car la probabilité de 0,18 correspond au cas où l'on' utilise des sorties différentes pour les six bits d'adresse. Cela signifie que l'on a nécessairement employé des générateurs comportant un nombre d'étages au moins égal à 6, et donc un nombre total de bits de clé égal à 21 si l'on se contente d'une séquence non maximale (n = a 8,nib = 7, nc = 6) ouà 24 (na = 9, nb = 8, n c = 7) si l'on veut une séquence maximale.Dans le cas où lton choisit nb = 5 et n c = 4 (clé de 16, 18 ou 20 bits, comme indiqué plus haut), on est obligé de' réutiliser, pour le cinquième bit d'adresse, un bit de C déjà utilisé précédemment et, pour le sixième bit d'adresse, deux bits de B et C déjà utilisés, ce qui conduit à une probabilité d'identité de l'ordre de 0,25 pour 6 bits. Pour décrypter le système de manière frauduleuse et retrouver les 16 bits de la clé, il suffit alors d'opérer en deux étapes : (1) essayer successivement les différentes combinaisons des 9 bits des mots de départ des registres B et C, ce qui demande, au maximum, 29 = 512 tentatives et, en moyenne, 256 tentatives seulement ; (2) une fois trouvés ces 9 bits, essayer successivement les différentes combinaisons des 7 bits restants, ce qui demande, au maximum, 2' : 128 tentatives et, en moyenne, 64 tentatives. Comme il suffit d'une seconde environ pour 'l'essai de chaque clé, on peut ainsi retrouver les 16 bits de la clé en 320 secondes en moyenne (256 + 64), soit environ 5 minutes. Ce délai est à comparer au délai nécessaire pour retrouver 16 bits lorsqu'on ne peut pas le faire en deux étapes : 216 = 65 536 tentatives au maximum, soit en moyenne, 32 768 tentatives, ce qui demanderait plus de 9 heures à raison d'une tentative par seconde. il en résulte que, pour la même difficulté de décryptage par essais successifs de clés, un générateur d'adresses pseudoaléatoires utilisant des générateurs de Geffe demande un nombre de bits de clé entre 1,7 et 2 fois plus grand que celui qui serait nécessaire dans un dispositif n'utilisant pas le principe du générateur de Geffe et ne permettant pas la reconnaissance des bits en deux étapes successives. Par exemple, si l'on estime qu'un temps moyen de l'ordre de deux heures est suffisant pour décourager les tentatives de décryptage, ce temps peut être obtenu sans générateur de Geffe avec une clé de 14 bits, alors qu'avec un générateur de Geffe il faudrait 26 bits si l'on choisit des longueurs des registres A,B et C égales respectivement à 13, 7 et 6. L'objet de l'invention est donc, plus précisément, de remédier aux inconvénients des générateurs de Geffe lorsqu'ils sont appliqués au chiffrage d'images de télévision, tout en gardant l'avantage de l'utilisation de plusieurs registres permettant d'obtenir au moins 4 bits# d'adresse par combinaison logique des sorties non corrélées des différents registres. L'invention concerne à cet effet un générateur d'adresses numériques pseudoaléatoires, destiné notamment à fournir des adresses de points de coupure d'un signal vidéo composite, dans le cas d'un système à multiplexage en fréquences de type SECAM, PAL ou NTSC par exemple, ou des signaux vidéo de luminance et de chrominance dans le cas d'un système à multiplexage temporel des composantes analogiques de type MAC par exemple, en vue de réaliser un chiffrage de ces signaux vidéo par permutation circulaire des seg- ments- situés de part et d'autre de chaque point de coupure, caractérisé en ce qu'il comprend trois registres à décalage à rebouclage, en ce que les polynômes générateurs de chacun de ces registres sont irréductibles et primitifs pour que les séquences de bits a, b, c qu'ils délivrent soient de longueurs maximales, en ce que les nombres de cellules na, nb, n c desdits registres sont différents, en ce que les trois registres comportent plusieurs sor ties a. b. et ck, et en ce que les adresses des points de i J coupure sont constituées par des sommes de N termes de poids 2 à 2N 1 et de coefficients respectifs SO à SN 1 dont au moins les quatre coefficients de poids le plus fort sont déduits d'équations logiques comportant au moins une addition modulo 2 de trois sorties a. b. et Ck, notée (ai b o Ck), les rangs i j ck, i j i j et k étant choisis différents autant que les degrés na, nb, ne des registres le permettent, et les autres coefficients étant indifféremment soit fixes et égaux alors à O ou à 1 soit déduits pour l'un ou plusieurs d'entre eux de sorties ai bj et ck à l'aide d'équations ne comportant pas d'addition modulo 2 de trois sorties. La structure ainsi définie est avantageuse pour la raison suivante. On a vu que, dans le cas du générateur de Geffe, la probabilité d'identité d'adresse, pour un bit d'adresse, est de lorsque les bits b et les bits c sont connus, en raison du fait que, lorsque les valeurs des bits b et c sont égales, la sortie S est égale à cette valeur commune (voir l'équation (2)), la valeur du bit a n'intervenant donc pas. Le choix d'une équation logique dans laquelle le changement d'un seul bit sur les trois change la sortie, quelles que soient les valeurs des deux bits non touchés, remédie à cet inconvénient, puisqu'avec cette équation, pour 1 bit d'adresse, la probabilité d'identité d'adresse est égale à 1 .Lorsque le bornage des adresses, examiné plus loin, n'a pas 2 d'effet sur l'efficacité de chaque bit d'adresse et-lorsque la longueur de chaque registre est au moins égale à 4, la probabilité 14 d'identité d'adresse, pour 24 bits d'adresse, est égale à (234 = 6,25 %, e'est-à-dire située au-dessous de la limite de distinction d'une structure dans une image. Le générateur proposé est donc très bien protégé vis-à-vis des tentatives de décryptage par essais successifs des différentes clés. Les particularités et avantages de l'invention apparaîtront, en fait, de manière plus précise dans la description qui suit ainsi que 'dans les dessins annexés, donnés à titre d'exemple et dans lesquels - les figures 1, 2a et 2b représentent respectivement, on l'a vu, un générateur de séquences numériques pseudoaléatoires de type c#lassique à n cellules, un générateur de Geffe à trois registres, et un rappel des tables de vérité des opérations logiques d'addition, de produit, et d'addition modulo 2 - la figure 3 est un tableu qui indique les proba bilités de décodage des premier, deuxième, troisième et quatrième modes de réalisation de l'invention proposés ci-après, en fonction du nombre de bits d'adresse utilisés, dans le cas où les degrés na, nb, n des registres sont tels que n = au moins 7, c a nb = 5, n c = 4 et lorsqu'il n'y a pas de perte d'efficacité due au bornage des adresses - les figures 4, 5 et 7 sont des schémas de circuits utilisés dans le cas de bornage des adresses - la figure 6 est un tableau qui indique les probabi lités de décodage des premier, deuxième, troisième et quatrième modes de réalisation de l'invention, en fonction du nombre de bits d'adresse utilisés, dans le même cas que le tableau de la figure 3 mais avec perte d'efficacité due au bornage des adresses - la figure 8 représente un exemple de réalisation d'un générateur de séquences numériques pseudoaléatoires selon l'invention. Dans un premier mode de réalisation de l'invention, le générateur est donc un générateur de Geffe à trois registres à dé calage A, B, C à rebouclage, dont les polynômes générateurs sont irréductibles et primitifs, de sorte que les séquences de bits a, b, c qu'ils délivrent sonX de longueurs maximnales, c'est-à-dire égales respectivement à 2 a~1, à 2 -1 et à 2 -1, a#1, à 2 c na, nb et n étant donc les nombres de cellules respectifs, c ou degrés; des registres A, B et C, et étant conventionnellement choisis de telle manière que na soit supérieur à nb, lui-même supérieur à nc.Les longueurs des trois registres, qui sont maximales, sont ici choisies premières entre elles, afin que la longueur des séquences pseudoaléatoires formées par les combinaisons de bits ah b, c soit elle-même maximale, et égale au produit (2 na-1).(2 nb-1).(2 al)#, Une adresse quelconque S de point de coupure étant exprimée par une somme S de N termes de poids 20 à 2N 1 affectées de coefficients respectifs S0 à SN 12 qui s'écrit un objet de l'invention est atteint si au moins les quatre coefficients de poids le plus fort, SN-1, SN-2, SN- 3 et X 4, sont déduits d'équa- tions logiques consistant chacune en une addition modulo 2 du type Sh = ai e b. o ck, où sh est le terme générique de la somme S définis i J 5h sant l'adresse et ai, bj, ck des sorties des trois registres A, B et C. De préférence, les rangs i,j,k sont choisis différents, autant que les degrés na, nb, nc le permettent. Les derniers coefficients de l'adresse sont indifféremment soit fixes, et choisis égaux à O ou à 1, 'soit déduits pour un plusieurs d'entre eux de sorties ai b. et ck à l'aide d'équations ne comportant pas d'addition modulo J 2 de trois sorties.La probabilité d'identité d'adresse est maintenant, pour quatre bits d'adresse, égale à (1/2)4 = 6,25 %, valeur qui est bien inférieure à celle de 10 % reconnue plus haut comme valeur-limite de reconnaissance d'une structure dans une image. L'addition modulo 2 Sh = a. # b e ck (4) i j peut aussi s'écrire, en explicitant les opérations logiques Sh = ai(bjck+ bjck + ai(bjck + bjck) (4bis) Ces équations (4)du (4bis) représentent un système linéaire, et une tentative de décryptage ne nécessite que la résolution d'un nombre d'équations linéaires égal au nombre de bits nd de la clé (nd étant égal à na+nb+nc). Pour rendre cette résolution mathématique plus difficile, il est possible, dans un deuxième mode de réalisation de l'invention, d'utiliser, pour le premier bit d'adresse de poids le plus fort, une équation logique contenant par exemple deux additions modulo 2 différentes, de type (a e b e c), dont le choix est' dicté par la valeur d'un autre bit a ou b ou c.Quand on choisit na supérieur à nb, lui-même supérieur à nc, ce bit multiplicateur est issu du regis tre le plus long A. Pour éviter d'employer plus de deux sorties des registres par bit d'adresse, on peut utiliser la même sortie a dans les deux sommes. Dans ce deuxième mode de réalisation, l'équation logique du premier coefficient de poids le plus fort s'écrit alors SN-1 ai(ai@bj@Ck) + #(a1#e%.#e0k#) (5) ou SN-1 = ai(ai'#bj#ck) + i (ai,#bj'#ck') (Sbis) Ces deux expressions (5) et (5bis), dans lesquelles on a utilisé la même sortie a.' dans les deux sommes pour éviter d'employer trois sorties a pour un seul bit d'adresse, ne diffèrent que par le fait que l'on utilise soit ai, soit son complément a.' dans la deuxième somme.Si la complexité du circuit n'est pas augmentée de façon significative, il est préférable d'utiliser l'expression (5bis) car le fait d'employer a1, diminue la similitude entre les deux sommes. Les équations logiques donnant au moins trois des coefficients de poids le plus fort suivants restent, elles, de la forme E = ai" e bjn e ck" (6) les rangs i" j" k" étant là encore choisis différents, autant que les degrés na, nb et nc le permettent. Les derniers coefficients de l'adresse sont fixes et choisis égaux à O ou à 1 indifféremment. Dans un troisième mode de réalisation de l'invention, l'équation logique du deuxième coefficient de poids le plus fort X 2 est elle aussi du type de l'équation (5) ou (5bis), avec des coefficients i i k choisis différents, et les équations logiques donnant au moins deux des coefficients de poids le plus fort suivants sont du type de l'équation (6). Les autres coefficients sont fixes et égaux à O ou 1. Ce troisième mode de réalisation offre une protection plus grande vis-à-vis du décryptage mathématique, puisque les deux coefficients de poids le plus fort contiennent des produits et que leur ordre de complexité est donc voisin de na(nb + nc) = 63, par exemple, lorsque na, nb et nc valent respectivement 7, 5 et 4. Cependant, les deux coefficients de poids le plus fort SN 1 et SN 2 utilisent chacun deux sorties du registre A, deux sorties du registre B et deux sorties du registre C. Si la longueur du registre le plus court C n'est par exemple que de 4, on retrouvera donc, dans les coefficients d'adresse suivants, des sorties de C déjà utilisées, ce qui augmente#ra la probabilité d'identité d'adresse et, par suite, le risque de décryptage par essais successifs de clés. Pour remédier à cet inconvénient, on peut, dans un quatrième mode de réalisation de l'invention, choisir, comme termes multiplicatifs, des sorties des registres de plus faible longueur en prenant par exemple une sortie du registre B pour le premier coefficient et une sortie du registre C pour le deuxième.Les équations logiques des deux coefficients de poids le plus fort s'écrivent alors SN-1 = bj(ai#bj'#ck) + bj(ai@biock) (7) ou SN-1 = b bj(ai#bj'#ck) + bj(ai'#bj'#ck') (7bis) J i' N-2 = ck"(ai"#bj"#ck"') + ck"(ai"'#bj"'#ck"') (8) ou 5N-2 = ck"(ai"#bj"#ck"') + ck"(ai"'#bj"'#ck"') (8bis) Dans ce cas, comme précédemment, les équations logiques donnant au moins deux des coefficients de poids le plus fort suivants sont du type : 5h = ai"" e bj"" # ck"" (9) en choisissant des rangs i j k différents autant que les degrés des registres le permettent, et les derniers coefficients sont fixes et égaux à O ou à 1. Avec ce quatrième mode de réalisation, les ordres de complexité des deux premiers coefficients sont respectivement voisins de nb(na + nc) et n c (n a + nb), soit respectivement 55- et 248 dans l'exemple choisi précédemment (na= 7, nb = 5, nc = 4). Ces ordres de complexité sont donc légèrement inférieurs à ceux du deuxième mode de réalisation. Ce système est cependant mieux protégé contre le décryptage par essais successifs de clés, car on peut remarquer que le coefficient SN -1 dépend toujours de bj, et que le coefficient dépend toujours de Ck"' ce qui permet de réutiliser les sorties b. J et Ck" pour le troisième ou le quatrième coefficient SN-3 ou SN-4 sans diminution de leur efficacité. Dans les quatre modes de réalisation qui viennent d'être proposés, la protection est maximale par rapport à un décryptage par étapes successives qui commencerait par les#bits des registres B et C les plus courts. Cependant, la protection par rapport à un décryptage commençant par les bits des registres A et B ou des registres A et C doit etre également recherchée.En effet, dans le cas où les degrés des registres sont par exemple égaux à 5, 4 et 3, un décryptage à partir des bits de A et C ne demanderait, en moyenne, que (25+3 + 24 ) = (128 + 8) essais, soit environ 2 minutes, alors qu#e si ce décryptage à partir de A et C tétait pas possible, il faudrait en moyenne 2 048 essais, soit 34 minutes ; dans le cas où les degrés des registres sont égaux à 7, 5, 4, il faudrait en moyenne 17 minutes au lieu de 9 heures.A titre d'exemple, le tableau de la figure 3 indique les probabilités de décodage des quatre modes de réalisation proposés, en fonction du nombre de bits d'adresse utilisés, dans le cas où les degrés na, nb, nc sont tels que na = au moins 7, nb = 5 et n c = 4 et lorsqu'il n'y a pas, bien entendu, de perte d'efficacité due au bornage des adresses (qui va être décrit maintenant). Le générateur précédemment décrit à travers quatre modes de réalisation possibles est capable de fournir 2N# adress#es différentes de valeur 0 à 2N - 1 (on a vu en effet qu'une adresse quelconque de point de coupure était exprimée par une somme S de N termes Sh2h de de poids 20 à 2N 1 affectés de coefficients respectifs S0 à SN 1) Quand le nombre M d'échantillons mis en mémoire par ligne est légèrement supérieur à une puissance de 2, il ne se pose pas de problème de dépassement des bornes si l'on choisit N égal à la puissance de 2 juste inférieure à M. il peut arriver cependant que ce soit le nombre M qui soit de très peu inférieur à une puissance entière de 2 : dans ce cas, le choix précédent de N conduirait à des permutations correspondant à des translations de lignes maximales voisines de la demi-largeur d'image, ce qui ferait perdre en efficacité de brouillage. Cette éventualité se produit en particulier dans le cas du brouillage d'un signal au standard européen codé PAL, lorsqu'on choisit une fréquence d'échantillonnage égale à quatre fois la fréquence sous-porteuse couleur (soit 17,734 mégahertz pour cette fréquence d'échantillonnage) pour éviter des interférences entre ces deux fréquences. Dans ce cas, le nombre de points mis en mémoire par ligne ne dépasse pas en pratique 990, en tenant compte de la partie de signal sacrifiée pour permettre la répétition d'une zone au voisinage du point de coupure (caractéristique de redondance, connue d'après les deux demandes de brevet déjà citées). Pour obtenir des translations pouvant avoisiner la largeur de l'image sans la dépasser, on peut alors choisir par exemple N = 10, soit 1 024 adresses possibles, et faire subir à 2P de ces adresses, comprises entre 2N ~ 2P et 2N - 1, une diminution d'une quantité 2q, p étant choisi de telle sorte que 2N - 2P soit inférieurà M, et q étant choisi égal ou supérieur à p mais tel que 2q soit infe- rieur à 2N - 2P.Dans l'exemple cité, on peut choisir, par exemple, p et q égaux tous deux à 6, ce qui revient à diminuer de 64 les 64 adresses supérieures ou égales à 960. Cette opération revient à forcer le coefficient S6 à la valeur O lorsque les coefficients S7, S8 et Sg sont tous les trois égaux à 1, ce qui peut être obtenu très simplement par le circuit indiqué sur la figure 4 qui utilise une porte ET à deux entrées et une porte non-ET à trois entrées vérifiant l'équation 6 6 1 0 ) On doit remarquer que cette opération diminue l'efficacité du coefficient S6, qui n'a plus d'influence sur l'adresse fournie que pendant les 7/8e du temps. Par ailleurs, les signaux de télévision mis en mémoire comportent toujours une période initiale de référence contenant soit le niveau du noir lorsqu'il s'agit d'un signal en noir et blanc ou d'un signal de- luminance, soit une salve de référence superposée au niveau du noir lorsqu'il s'agit d'un signal en couleur composite de type PAL, SECAM ou NTSC, soit un niveau de référence correspondant au niveau O de différence de couleur lorsqu'il s'agit d'un signal de différence de couleur U ou V (cas du codage MAC par exemple). Comme ce niveau de référence pourrait être repéré relativement facilement dans le signal chiffré, il est important, pour éviter un décryptage de l'image, de ne pas appliquer la permutation à cette période, ce qui revient à interdire les adresses de coupure qui tombent dans ces périodes de référence. Un moyen simple de réaliser cette interdiction consiste à faire subir aux 2r adresses fournies par le générateur, com prises entre 0 et 2r ~ 1, une augmentation d'une quantité 2 r étant choisi de telle sorte que 2r soit supérieur à la lon- gueur L du segment de référence, et s étant choisi égal ou supérieur à r mais tel que 2s soit inférieur à M - 2r. Dans l'exem- ple cité, la longueur L ne dépasse pas 100 éléments échantillonnés. On peut donc choisir, par exemple, r et s égaux tous deux à 7, ce qui revient à ajouter 128 aux 128 premières adresses, comprises entre O et 127. Cette opération revient à forcer le coefficient S7 à la valeur 1 lorsque les coefficients S8 et Sg sont tous les deux égaux à 0, ce qui peut être obtenu très simplement par le circuit indiqué sur la figure 5 qui utilise une porte OU et une porte non-OU à deux entrées, vérifiant l'équation : S 7 = S7 + S8+S 9 (11) On doit là encore remarquer que cette opération diminue l'efficacité du coefficient S7, qui n'a plus d'influence sur l'adresse fournie que pendant les 3/4 du temps. Dans le cas du premier mode de réalisation décrit (voir les équations (4) et (4bis)), la probabilité d'identité d'adresse pour 4 bits significatifs d'adresse S6 à Sg, devient donc égale, dans 1' exemple cité et dans le cas où le plus petit registre comporte au moins 4 cellules, à x x[( x )+(# x 1)] x [(# x )+(# x 1)= 8,8% (12) A titre d'exemple, le tableau de la figure 6 indique en fonction du nombre de bits d'adresse les probabilités d'identité d'adresses calculées dans le cas des bornes inférieures et supérieures précédentes, pour les premier, deuxième, troisième et quatrième modes de réalisation proposés, dans le cas où les longueurs des registres sont respectivement 4 pour C, 5 pour B et -supérieure ou égale à 7 pour A. On peut constater que la probabilité de décodage est égale à la probabilité minimale lorsque l'on connait les bits de B et Cà la fois (9 bits). Par contre, lorsque l'on connaît les bits de A et B à la fois (au moins 12 bits) ou A et C à la fois (au moins 11 bits), la probabilité de décodage est supérieure à la probabilité minimale, et ne descend au-dessous du seuil de perception de 10 % que lorsqu'on utilise au moins quatre bits d'adresse dans la solution 1, cinq bits dans les solutions 2 et 4, et six bits dans la solution 3.On peut remarquer en outre que l'exemple des bornes citées s'applique aussi bien aux systèmes PAL et SECAM en Europe, en choisissant la fréquence d'horloge f voisine de 17,734 MHz, qu'au système NTSC dans les pays à standard 525 lignes, 30 images/seconde, lorsqu'on choisit une fréquence d'horloge proche de cinq fois la fréquence sous-porteuse couleur NTSC, soit 17,9 MHz. Dans le cas d'un système à multiplexage temporel de composantes analogiques, le générateur doit fournir autant d'adresses de points de coupure qu'il y a de composantes dans chaque ligne, cest-à-dire par exemple deux dans le cas du système MAC (où les composantes sont Y et, alternativement, U et V). Comme les composantes de luminance et de chrominance comportent des informations de formes voisines, on ne perd pas en degré de secret en appliquant des permutations circulaires analogues à ces composantes, c'est-à-dire en calculant les deux adresses à partir des mêmes sorties des mêmes registres à décalage et en utilisant les mêmes équations logiques.Ceci permet d'avoir un générateur d'adresses dont la complexité n'est pratiquement pas plus grande que'dans le cas précédent, seul le problème des bornes pouvant différer suivant les composantes. Si l'on suppose par exemple que le générateur fournit 6 coefficients variables Ao à A5 déduits des opérations ci-dessus en prenant N = 6 et, également, que l'on soit dans le cas d'un signal MAC tel que la durée de la composante de luminance soit environ le double de celle de la compo#sante de chrominance, avec une fréquence d'horloge telle que la capacité utile des mémoires luminance et chrominance soit légèrement inférieure à 512 et 256 respectivement, on peut prendre alors pour la luminance Ny = 9 et pour la chrominance NC = 8, en choisissant pour coefficients de l'expression d'adresse (formée, on l'a déjà rappelé, d'une somme de N termes Sh2h) :: - pour la luminance Sy = A(h 3) pour h #3 et = 0 pour 0# h - pour la chrominance : Sch =A(h-2) pourh > #2 et = O pour h# 1 après avoir fait subir à A2 et A3 les mêmes opérations que celles décrites précédemment pour S6 et S7 (figures 4 et 5) pour interdire les segments d'adresse situés aux extrémités. On peut se trouver également dans le cas d'un signal MAC avec une fréquence d'horloge telle que la capacité utile de mémoire luminance soit plus près de 768 que de 512 (= 29) ou de 1024 (= 210). Une première solution consiste alors à choisir Ny 10 et à forcer à O le coefficient SY8 ainsi éventuellement qu'un coefficient de poids plus faible (Sy ou SY5) lorsque le coefficient de poids le plus fort SY9 est égal à 1, mais cette solution présente l'inconvénient de réduire à un facteur 1/2 l'efficacité du deuxième coefficient de poids le plus fort SY et de réduire également l'efficacité de deux autres coefficients en tenant compte de la borne inférieure.Une deuxième solution consiste à choisir Ny = 9, ce qui donne 512 adresses possibles, et à choisir, pour la translation des adresses comprises entre O et 2r - 1, une quantité 2S = 29 = 512, ce qui est possible lorsque, par exemple, la longueur du niveau de référence est inférieure à 128 et que la longueur M du signal est comprise entre 640 et 896. Les coefficients des adresses luminance sont alors choisis comme suit SY = A(h-3) pour 3 h = 0 pour 0#h#2 et Sy = 1 lorsque SY = 5Y = 0 et = 0 dans tous Mes autres cas. Cela revient à choisir SY = SY + SY (13) ce qui peut être obtenu tXès simplement avec une porte non-OU à deux entrées comme indiqué sur la figure 7. Cette deuxième solution# présente l'avantage que l'efficacité des 6 coefficients Ao à A5 reste entière. Les probabilités de décodage sont alors celles indiquées dans le tableau de la figure 3. Ce dernier type de solution peut également s'appliquer au cas d'un signal MAC avec une fréquence d'horloge telle que la capacité utile de la mémoire chromi nance soit plus près de 384 que de 256 (= 281 ou de 512 (= 29). Les coefficients des adresses chrominance seraient alors choisis comme suit S -A Ch (h-2) pour 2^ > hv 7 = O pour 0#h# 1 et SC8 = SC7 + SC6 (14) LaQfiguré 8 constituée par l'association des parties de figure 8a et 8b montre un exemple de réalisation pratique d'un générateur d'adresses numériques pseudo-aléatoires adapté aux signaux PAL, SECAM et NTSC. Les longueurs des trois registres A, B, C ont été choisies respectivement égales à 11, 5 et 4, ce qui permet environ 950 000 clés différentes de 20 bits.Les polynômes générateurs irréductibles et primitifs, choisis pour ne nécessiter qu'une prise intermédiaire sur chaque registre, sont les suivants x11 + X2 +1 =0 x5 + x2 + 1 = 0 4 x +x+1=0 On utilise 8 sorties a1 à a8 de A, 4 sorties b1 à b4 de B et 4 sorties cl à c4 de C, qui sont appliquées respectivement aux 16 entrées d'un réseau logique programmable RLP par exemple de type 82 S 100 fabriqué par la société Signetics. Ce réseau RLP fournit 8 sorties Ao à A7 utilisées pour fournir 8 bits d'adresse variable S2 à Sg, les deux bits d'adresse de poids le plus faible SO et S1 étant égaux à 0. Comme on l'a vu précédemment, pour interdire les adresses comprises entre 0 et 127 et celles comprises entre 960 et 1 023, les coefficients S6 et S7 sont déduits des sorties A5, A6, A7 selon des schémas programmé de façon qu'il fournisse, conformément par exemple au quatrième mode de réalisation de l'invention, une sortie A7 selon équation (7bis), une sortie A6 selon l'équation (8bis), et six sorties A0 à As selon l'équation (9).On a choisi, à titre d'exemple, les équations suivantes A7 = b1 (a3 e b4 e c1) + b1 (a7 te b 04) A6 = c3 (a4 'e b3 v c2) + c3 (a8 2 b22 02) A5 = a1 bl ec3 A4 = a5 # b3 # c1 A = a6 # b2 ec4 A2= a2 eb4 @ c2 A1 = a3 eb1 # c3 A = a8 # b3 # c1 Les deux premières nécessitent 8 produits, les suivantes 4. On utilise donc ainsi 40 produits parmi les 48 disponibles sur le réseau 82 S 100.Comme on l'a vu, les deux bits d'adresse et S3, déduits de A0 et A1, correspondent à des translations trop faibles pour apporter une contribution significative au brouillage tel qu'il est perçu par l'oeil. Leur utilisation renforce cependant le chiffrage vis-à-vis d'un essai de décryptage mathématique ; ils rendent en effet plus difficile l'identification des sauts d'adresses introduits par les coefficients S4 à S9 puisqu'ils introduisent trois adresses supplémentaires possibles entre chacune des adresses fournies par# S4 à Sg. Dans le générateur de la figure 8, on charge à intervalles réguliers les registres A, B et C par leurs mots de départ respectifs, de longueurs na, nb et nc. Ces mots, mis bout à bout, constituent la clé de longueur nd = 20 bits. Cette clé est soit fournie par une carte de décodage, soit transmise par ltémet- teur sous forme chiffrée, puis déchiffrée par un circuit d'accès non représenté.Quand une nouvelle clé arrive, elle est transférée dans un registre à décalage D à 20 étages, en 20 coups d'une horloge Hc d'accompagnement de la clé, par l'intermédiaire des multiplexeurs MUX1 et MUX2, en commençant, par exemple, par les bits destinés aux registres C, puis B, puis 4. Au bout de 20 coups de l'horloge Hc, on trouve donc, dans le registre D, le' mot de départ du registre A sur les sorties QO à Q10, le mot de départ #du registre B sur les sorties Q11 à Q15 et le mot de départ du registre C sur les sorties Q16 à Q19. A intervalles réguliers, égaux ici à 48 trames, on reboucle le. registre D sur lui-même par l'intermédiaire du multiplexeur MUX On connecte ses sorties trées des registres A, B et C, par l'intermédiaire des multiple- xeurs MU 5 , MUX4, MUX5, en ouvrant en même temps les boucles de ces registres, et on applique au registre D, par l'intermédiaire de MUX2, pendant 20 coups d'horloge consécutifs, une même horloge L à la fréquence de balayage ligne que celle qui est appliquée en permanence aux registres A, B et C.Au bout de 20 coups d'horloge HL, les mots stockés dans les registres A, B et C correspondent alors aux bits stockés initialement dans le registre D entre les sorties QO et Q10 pour A, Q11 et Q15 pour B, Q16 et Q19 pour C respectivement. En outre, en raison du rebouclage de D sur lui-même pendant cette opération, ce registre se retrouve dans l'état initial au bout de 20 coups d'horloge et joue donc le rôle de mémoire pour la clé. L'opération de chargement des registres A, B et C, à partir du registre D, est effectuée pendant une période de retour trame (repérée par l'horloge HT à la fréquence de balayage trame) toutes les 48 trames, ctest-à-dire environ toutes les secondes dans l'exemple cité, la synchronisation avec l'émetteur étant obtenue à l'aide d'une impulsion d'initialisation SP transmise par celui-ci soit dans la voie de diffusion des données, soit dans une ligne spéciale d'image. En dehors de ces périodes de chargement de A, B et C, le registre D est connecté au circuit de con trôle d'accès, par l'intermédiaire des multiplexeurs MUX1 et MUX2, et se trouve donc prêt à recevoir toute nouvelle clé de ce circuit. Bien entendu, pour une production en grande série, l'ensemble des circuits représentés sur la figure 8 peut être intégré sur une seule puce de silicium de quelques mm2 de surface. REVENDICATIONS : 1. Générateur d'adresses numériques pseudoaléatoires, des tiné notamment à fournir des adresses de points de coupure d'un signal vidéo composite, dans le cas d'un système à multiplexage en fréquences de type# SECAM, PAL ou NTSC par exemple, ou des adresses de points de coupure des signaux vidéo de luminance et de chrominance dans le cas d'un système à multiplexage temporel des composantes analogiques de type MAC par exemple, en vue de réaliser un chiffrage de ces signaux vidéo par permutation circulaire des deux segments situés de part et d'autre de chaque point de coupure, caractérisé en ce qu'il comprend trois registres à décalage à rebouclage, en ce que les polynômes générateurs de chacun de ces registres sont irréductibles et primitifs pour que les séquences de bits a, b, c qu'ils délivrent soient de longueurs maximales, en ce que les nombres de cellules na, nb, nc desdits registres sont différents, en ce que les trois registres comportent plusieurs sor ties ai b. et ek, et en ce que les adresses des points de i J 0k' coupure sont constituées par des sommes de N termes de poids 20 à 2N 1 et de coefficients respectifs SO à SN 1 dont au moins les quatre coefficients de poids le plus fort sont déduits d'équations logiques comportant au moins une addition modulo 2 de trois sorties a. b. et Ck, notée (ai b j e Ck), les rangs i J et k i i, j et k étant choisis différents autant que les 'degrés na, n b et nc des registres le permettent, et les autres coefficients étant indifféremment soit fixes, et alors égaux à O ou à 1, soit déduits pour l'un ou plusieurs d'entre eux de sorties ai b. et Ck à l'aide d'équations logiques ne comportant pas d'addition modulo 2 de trois sorties. 2. Générateur selon la revendication 1, caractérisé en ce que les nombres de cellules na, nbnnC sont choisis de telle a sorte que les longueurs (2 a~1), (2 b ) et (2 c~1) des séquences délivrées par les registres sont premières entre elles. 3. Générateur selon l'une des revendications 1 et 2, caractérisé en ce que l'équation logique du coefficient de poids le plus fort comprend l'addition logique de deux produits logiques effectués l'un entre une sortie ai ou ai du registre le plus long et une addition modulo 2 du type (ai, # bj # ck) et l'autre entre la sortie complémentaire a. ou a. de ce re i i gistre et une addition modulo 2 du type (ai, e bj, ~ ck') ou du type Cai, e b., e Ck,), et en ce que l'équation logique d'au moins trois des autres coefficients de poids le plus fort suivants comprend une addition logique du type (ai" s bj" e Ck"), les sorties utilisées pour le premier coefficient et celles utilisées pour les coefficients suivants étant choisies différentes autant que les degrés na, nb et nc le permettent. 4. Générateur selon l'-une des revendications 1 et 2, caractérisé en ce que les équations logiques des deux coefficients de poids le plus fort sont choisies selon les opérations définies dans la revendication 3, et en ce que l'équation logique d'au moins deux des autres coefficients de poids le plus fort comprend une addition logique du type ai" e b j" e ck,,i les sorties ai ai, b b ck ck' utilisées pour les i j J ck ck, deux premiers coefficients et les sorties ai" bj" ck" utilisées pour les coefficients suivants étant choisies différentes autant que les degrés na, nb, nc le permettent. 5. Générateur selon l'une des revendications 1 et 2, caractérisé en ce que les équations logiques des deux coefficients de poids le plus fort comprennent l'addition logique d'un produit b; (ai # bj' e Ck) et d'un produit b. '#bj'ck') J i J k J Jk ou bj (ai, e bj, e Ck,) pour l'un de ces coefficients et, pour l'autre de ces coefficients, l'addition logique d'un produit ck" (ai"#bj"#ck"') et d'un produit ck"(ai"'#bj"'# ou ou ck"(ai"' e %,,, # ck"'), en ce que les équations logiques d'au moins deux des coefficients de poids le plus fort suivants comprennent une addition logique du type (ai""#bj""# ck""), les sorties ai ai ai" ai"' b. bj, bj" bj", Ck ck, Ck" ck"' utilisées pour les deux premiers coefficients et les sorties ai"" bj"" ck"" utilisées pour les coefficients suivants étant choisies différentes autant que les degrés na, nb, n c le permettent. 6. Générateur selon l'une des revendications précédentes, caractérisé en ce que le nombre d'adresses maximal possible 2N est choisi égal à la première puissance de deux inférieure à la longueur M du signal. 7. Générateur selon l'une des revendications 1 à 5, caractérisé en ce que le nombre d'adresses maximal possible 2N est choisi égal à la première puissance de deux supérieure à la longueur M du signal, et en ce que les 2P adresses comprises entre 2N - 2P et 2N - 1 sont diminuées d'une quantité 2q, p étant choisi de telle sorte que 2N - 2P soit inférieur à M, et q étant choisi égal ou supérieur à p mais tel que 2q soit inférieur à 2N - 2P. 8. Générateur selon l'une des revendications 6 et 7, utilisable dans le cas où un fragment de signal ne doit pas subir la permutation circulaire, caractérisé en ce que les 2r adresses comprises entre 0 et 2r - 1 sont augmentées d'une quantité 2S r étant choisi de telle sorte que 2r soit supérieur à la longueur L du segment de référence du signal qui ne doit pas être touché par la permutation circulaire, et s étant c#hoisi au moins égal à r mais tel que 2s soit inférieur à M - 2r 9.Générateur selon l'une des revendications 1 et 2, caractérisé en ce que, le signal à chiffrer étant de type à multiplexage temporel de f composantes analogiques g de longueur M g débutant chacune par une période de référence de longueur Lg qui ne doit pas être incluse dans une permutation circulaire, des permutations circulaires indépendantes sont appliquées aux différentes composantes du signal après coupure de chacune, en ce que les f adresses des points de coupure sont calculées à partir des mêmes sorties ai b. c des trois registres, et en ce que les équations logiques choisies pour déterminer les f adresses sont indépendantes et peuvent être de l'un quelconque des types d'équations logiques décrites dans les revendications précédentes. 10. Générateur selon l'une des revendications précédentes, caractérisé en ce que, à intervalles réguliers multiples de la période trame, une impulsion de synchronisation provenant d'une horloge interne ou transmise par l'émétteur recharge les trois mots de départ dans les registres à décalage, ces trois mots de départ de longueurs respectives na, nb, nc constituant la clé de déchiffrage du système. 11. Générateur selon la revendication 10, caractérisé-en ce que ces trois mots de départ mis bout à bout, constituent les nd = na + n b + nc bits de la clé, en ce que cette clé est stockée dans un quatrième registre à décalage à nd étages bouclé sur lui-mêe, en ce que le chargement des trois registres est effectué en ouvrant la ou les-boucles de ces registres, en connectant les entrées des trois registres à trois prises du quatrième registre séparées respectivement par un nombre d'étages égal à nb et nc, et en effectuant nd coups d'horloge, les trois registres étant ensuite déconnectés du quatrième registre et leurs boucles rétablies. 12. Générateur selon la revendication 11, caractérisé en ce que, lorsqu'une nouvelle clé fournie par une carte de décodage ou transmise par l'émetteur arrive, la boucle du quatrième registre est ouverte et son entrée est connectée au circuit qui délivre la clé, et en ce que l'on effectue nd coups d'horloge pour transférer les nd bits de la clé dans le quatrième registre, ce quatrième registre-étant ensuite déconnecté du circuit qui délivre la clé et son bouclage rétabli.