FR 2885428 A1 20061110 FR 0602010 A 20060307 2885428 1 UNITE DE CALCUL SURE ET RAPIDE Description Unité de calcul sûre et rapide Lâ présente invention concerne les unités de calcul et, en particulier, les unités de calcul sûres et rapides, telles qu'elles peuvent être utilisées dans des processeurs de cryptographie et, en particulier, dans des circuits d'addition pour des processeurs de cryptographie. Le document DE 3631992 C2 décrit un processeur de cryptographie pour la mise en oeuvre d'un système cryptographique à clef publique RSA. Une élévation à une puissance modulaire avec une base, un exposant et un module est décomposée en une pluralité d'additions à trois opérandes. Les trois opérandes comprennent un opérande de module N, un opérande de multiplicande C et un opérande de résultat intermédiaire Z. Par un décalage/pondération approprié des trois opérandes avant l'addition peut être effectuée une multiplication/réduction accélérée par un algorithme d'anticipation de multiplication et un algorithme d'anticipation de réduction. La figure 7 illustre une découpe du dispositif d'addition, qui représente en quelque sorte le coeur du processeur de cryptographie qui est représenté dans le document DE 3631992 C2. En particulier, la figure 7 illustre deux tranches de bits successives, pour calculer les deux bits de somme i-1 et i, et ce à partir des trois bits d'opérande d'entrée Ci, Ni, Zi ou Ci_1, Ni-1, Zi_1 ou Ci-2, Ni-2 et Zi-2. L'addition à trois opérandes de C, N, Z est, vue au niveau des bits, décomposée en une opération en deux étapes. Pour effectuer la première étape de l'opération, il est prévu un demi-additionneur à trois bits 80, après chaque demi-additionneur à trois bits 80 étant connecté un additionneur complet à deux bits 81. Le demi-additionneur à trois bits fournit deux bits de sortie xi, yi, les bits de sortie yi étant alimentés dans l'additionneur complet à deux bits connecté en aval, de la manière représentée à la figure 7. En particulier, dans chaque additionneur complet à deux bits d'une tranche de bits, le bit de faible 2885428 2 valeur yi à la sortie du demi-additionneur à trois bits est combiné avec le bit de haute valeur de l'étage de demi-additionneur à trois bits inférieur d'un ordre (xi_:) dans 1 additionneur complet à deux bits 81, pour calculer un bit de somme 82 ainsi qu'un bit de report 63. L'addition à trois opérandes est donc subdivisée en deux segments. Dans le premier segment, il est formé, à chaque point binaire, une somme des trois bits des opérandes. La somme peut adopter les valeurs de 0 à 3 (en représentation décimale). La somme peut donc être représentée de manière binaire avec les deux bits x, y. Etant donné que la somme est formée à chaque point, il peut être composé, à partir des deux bits de somme, deux nouveaux nombres. Dans le deuxième segment, les deux nombres sont additionnés de manière habituelle par l'additionneur complet à deux bits 81. Le câblage de manière qu'un additionneur complet à deux bits reçoive toujours deux bits de sortie de deux demi-additionneurs à trois bits différents a pour résultat un prolongement de l'unité de calcul d'un bit. L'additionneur à trois opérandes illustré à la figure 7 est problématique en ce qu'il n'est prévu ni de sécurité des opérandes d'entrée C, N, Z, ni de sécurité des "opérandes intermédiaires" x, y. Cela est problématique en ce que, en particulier dans le cas normal où tous les circuits sont réalisés en logique CMOS, la commutation d'un bit de 0 à 1 ou de 1 à 0 entraîne une impulsion de courant qui commence lorsqu'un état de bit est commuté. De manière connue, les circuits CMOS connus ne consomment pas de courant à l'état statique. A l'état de commutation, ils ont toutefois une consommation de courant. Cette consommation de courant peut être obtenue par une analyse d'énergie. De ce fait, il est en principe possible de dériver des informations sur C, N, Z, par exemple pour déduire la clef secrète qui est utilisée dans une opération RSA. Un agresseur pourrait déterminer, par exemple en enregistrant le profil de courant, s'il s'est produit une commutation de 0 à 1 ou de 1 à 0. Dans le cas d'un circuit non sécurisé, il se produirait toujours une commutation d'un bit lorsqu'une crête de tension est reconnaissable dans le profil de courant. Aussi, un agresseur peut reconstruire tout le comportement de commutation d'une unité de calcul à l'aide du. profit de courant. L'agresseur ne nécessiterait alors plus qu'un seul bit clans toute une séquence, pour pouvoir en reconstruire s'il s'est produit la commutation d'un "1" a un "0" ou inversement. Certains circuits CMOS ont, par ailleurs, la caractéristique que la commutation de 0 à 1 entraîne une autre consommation de courant que la commutation de 1 à O. Dans ce cas, un agresseur, en comparant deux crêtes de tension différentes, voit directement les bits qui ont été traités dans l'unité de calcul. Comme mesure préventive contre de telles attaques par analyse d'énergie, il a été proposé d'utiliser une soi-disant technique à double rail. Dans la technique à double rail, chaque trajet de signal est, vu en principe, réalisé en double. Sur le premier trajet de signal, un signal x est par exemple traité normalement. Sur le deuxième trajet de signal intégré dans la même puce n'est pas traité le signal x, mais bien le signal complémentaire x. Cela a pour conséquence que, chaque fois qu'il se produit dans la ligne de signal un passage, par exemple, de 0 à 1, il se produit, dans l'autre ligne, donc dans le deuxième "rail", un passage complémentaire. Aussi, pour chaque passage de bit ont toujours lieu, sur les deux lignes, les deux passages. Cela a pour conséquence qu'il ne peut plus être dérivé, pour les circuits dans lesquels les passages de 0 à 1 et de 1 à 0 requièrent une quantité de courant différente, s'il s'est produit un passage de 0 à 1 ou de 1 à O. Cela est dû au fait que le profil de courant pour chaque passage de commutation contient une crête qui est la superposition du courant consommé des deux rails. La technique à double rail offre une grande sécurité, toutefois avec l'inconvénient que tous les circuits doivent normalement être réalisés en double et que l'énergie consommée de l'ensemble du circuit est également double. Aussi, le circuit est déjà 2885428 4 dans une certaine mesure immunisé contre les attaques par analyse d'énergie. S'il n'est ut:'_isé qu'une technique à double raiil peut encore toujours être reconnu à l'aide du profil de courant si un bit déterminé est passé de 0 à. 1 ou de 1 à 0 ou est resté inchangé comparé au cycle d'horloge précédent. Dans le cas d un passage de bit, on peut notamment voir une crête d'énergie. La crête d'énergie n'est toutefois pas visible lorsqu'un bit est, d'un cycle à l'autre, resté par exemple sur 1 ou sur 0, donc s'il n'a pas changé. Pour prévenir les attaques qui se basent sur cet effet, il a été suggéré de compléter la technique à double rail par d'un mode de précharge/prédécharge. Le circuit fonctionne alternativement en mode de données et en mode de préparation (précharge/prédécharge). Chaque cycle de données est précédé d'un cycle de préparation dans lequel, en cas de précharge, les deux rails, donc par exemple x et x, sont préchargés à "1", pour alimenter alors, en mode de données, les signaux d'entrée complémentaires à traiter vers les deux rails. Cela a pour conséquence qu'il se produit toujours, d'un cycle de données à un cycle de préparation ou d'un cycle de préparation à un cycle de données, exactement le même nombre de passages. Si le mode de préparation est réalisé comme mode de prédécharge, en mode de préparation, toutes les données d'entrée ne sont pas initialisées, comme dans la précharge, sur 1, mais "prédéchargées" sur O. Dans ce cas, sil se produit également, d'un cycle de préparation à un cycle de données et inversement, exactement le même nombre de passages. Tel qu'il a déjà été expliqué, pour la réalisation d'opérations modulaires, par exemple addition ou multiplication, par exemple dans le cadre d'algorithmes cryptographiques, tels que RSA ou courbes elliptiques, il est requis un additionneur à trois opérandes. Ces opérations doivent, pour les différentes raisons, être réalisées par le dispositif de manière à éviter les attaques sur base de l'énergie. Etant donné que les calculs cryptographiques sont extrêmement complexes en calculs, l'additionneur doit avoir une grande puissance. Etant donné 2885428 5 qu'il y a lieu, en particulier en cryptographie, de traiter de longs opérandes; la longueur des opérandes étant, dans le cas de courbes elliptiques, de l'crdre de 100 à 200 bits et, dans le domaine de RSA. d 1.024 à 2.048 bits, l'unité de calcul a elle-même une grande longueur de bits, pour pouvoir répondre avec rapidité aux exigences imposées à l'unité de calcul. Pour sécuriser l'unité de calcul illustrée à la figure 7, qui illustre en découpe deux tranches de bits d'une grande unité de calcul, par exemple à 2300 tranches de bits, contre les attaques cryptographiques, il est tout d'abord requis d'alimenter les opérandes d'entrée C, N, Z selon la technique à double rail vers le demi-additionneur à 3 bits 80. Une sécurité encore meilleure consiste à utiliser non seulement une technique à double rail, mais bien une technique à double rail avec précharge ou prédécharge. Ici, un cycle de données alterne toujours avec un soi-disant cycle de préparation. Dans un cycle de données, par exemple le bit Ci est égal à 0 ou 1, tandis que le bit complémentaire, qui est alimenté sur le "deuxième rail" et désigné par C, , est complémentaire au bit Ci. Dans un cycle de préparation suivant le cycle de données est effectuée, dans le cas d'une précharge comme mode de préparation, une charge des deux lignes par exemple à Vdd, ce qui pourrait correspondre, par exemple, à l'état logique "1". Les deux lignes à double rail ont ainsi la même valeur dans le mode de préparation. Dans le cas d'une décharge, les deux lignes Ci et C, pourraient être portées au potentiel Vss, qui est typiquement le potentiel de mise à la terre, le potentiel de mise à la terre correspondant, dans le présent exemple, à un "0" logique. Bien sûr, Vss peut également correspondre à un "1" logique. Vdd correspondrait alors à un "0" logique. Par conséquent, les bits xi et yi ou xi_1 et yi_1 devraient également être amenés selon la technique à double rail avec précharge aux 30 additionneurs complets à 2 bits connectés en aval 81 correspondants, un cycle de données suivant ici aussi toujours un cycle de préparation. 2885428 6 Du côté de la sortie, les bits de report C 83 et les bits de somme 82 seraient alors également sortis selon la technique à double rail avec pr charge j pr edécharge de _'additionneur complet à 2 bits. Ainsi, pour une sécurité optimale, il ne suffit toutefois pas uniquement que les lignes d entrée dans les éléments 80 et 81 et les lignes de sortie des éléments 80 et 81 soient réalisées selon la technique à double rail. Au lieu de cela, il est important, par ailleurs, que les circuits 80, 81 eux-mêmes soient également réalisés sous forme de circuits à double rail. Cela peut être obtenu par le fait que le demi-additionneur à 3 bits 80 et chaque additionneur complet à 2 bits 81 soient présents en double et soient réalisés de sorte que le premier demi-additionneur à 3 bits 80 calcule, par exemple, avec les bits d'opérande non inversés Ci, Ni et Zi, pour obtenir xi et yi. Le deuxième demi-additionneur à 3 bits 80 pour la même tranche de bits fonctionnerait alors avec les bits inversés Cl, N, et Z, , pour obtenir, par exemple, les bits de sortie inversés x; et y, . Bien entendu, toutes combinaisons croisées sont envisageables, de sorte que le premier demi-additionneur à 3 bits soit réalisé de manière à calculer, à partir des bits d'entrée non inversés, les bits de sortie inversés, et inversement. Cela devrait également être réalisé pour l'additionneur complet à 2 bits 81, pour obtenir un circuit d'une sécurité optimale dans une tranche de bits d'une unité de calcul de nombres longs pour un calcul de RSA à longueurs de module de 1024 bits, 2048 bits, etc. De telles unités de calcul sont nécessaires pour effectuer des opérations modulaires, par exemple addition et multiplication, par exemple dans le cadre d'algorithmes cryptographiques tels que RSA ou des courbes elliptiques. Une addition à 3 opérandes qu'effectue l'additionneur à 3 opérandes illustré en découpe à la figure 7 consiste à ajouter un premier terme d'une sommation C à un deuxième terme d'une sommation Z et, finalement, à ajouter ou soustraire le module N, selon la spécification d'anticipation. Ces opérations doivent, tel qu'il a été 2885428 7 expliqué, être réalisées par le dispositif d'addition de manière à prévenir les attaques sur base de l'énergie. On comprend directement que les calculs cryptographiques sont extrêmement intenses en calculs. Aussi, outre la sécurité, il existe également la condition requise que l'unité de calcul ait une grande puissance, en ce sens qu'elle requière aussi peu de temps de calcul que possible ou qu'elle puisse, en cas des ressources limitées, tel que par exemple sur une carte à pouce, encore effectuer des opérations d'une haute sécurité avec un temps de calcul admissible. Étant donné que l'arithmétique des opérations cryptographiques est une arithmétique de nombre longs, l'unité de calcul a elle-même, tel qu'il a été expliqué, une grande longueur de bits, afin d'obtenir effectivement une performance requise. Ainsi, il est supposé que chaque tranche de bits correspond à un point d'un module, en ce sens que tous les points sont "reproduits" dans des tranches de bits de matériel correspondants. Seule cette réalisation parallèle maximale garantit dans la plupart des cas une performance suffisante. En ce qui concernant le parallélisme maximum requis et, d'autre part, en ce qui concerne les coûts de la puce qui comporte une telle unité de calcul et également en ce qui concerne d'autres limitations imposées à la surface de puce, il est absolument nécessaire de concevoir l'unité de calcul avec une grande économie de surface. Ainsi, il est en principe requis une unité de calcul qui a une grande puissance, qui est en outre sûre et qui requiert une surface minimale. Le brevet allemand DE 10307942 B3 décrit un demi-additionneur destiné à additionner des bits d'au moins deux opérandes d'entrée, pour obtenir au moins deux bits de sortie. Le demi-additionneur comporte, outre un étage d'entrée, une pluralité d'étages de commutation et, connecté après chaque étage de commutation, un étage de sortie. Dans un mode de données, les étages de commutation peuvent fonctionner pour fournir soit un bit, soit un bit inversé à un étage de sortie qui est connecté après un étage de commutation correspondant. L'étage de 2885428 8 sortie modifie alors, sur base du bit reçu de l'étage de commutation correspondant, un bit de sortie par rapport à un mode de préparation précédent et complète le bit complémentaire du mode de préparation précédent. Ce circuit de demiadditionneur est déjà efficace en surface, étant donné qu'il est réalisé sans logique à double rail complète et qu'il est néanmoins protégé contre les attaques cryptographiques. En particulier, l'étage d'entrée et les étages de sortie sont réalisés selon la technique de double rail complète avec précharge ou prédécharge, tandis que les étages de commutation pour les différents bits sont réalisés de sorte qu'ils connectent, selon une spécification de demi-additionneur, pour le bit de sortie, en fonction des bits des opérandes d'entrée, un potentiel de calcul à la sortie de l'étage de commutation, le potentiel de calcul à la sortie représentant le bit de sortie ou une version inversée du bit de sortie. Cet étage de commutation n'est pas réalisé selon la technique à double rail, mais fonctionne selon une réalisation "one hot". Bien que ce circuit soit déjà efficace en surface, étant donné que les étages de commutation ne sont pas mis en oeuvre selon une logique à double rail complète et bien que ce circuit soit efficace en énergie en ce que l'étage de commutation ne calcule chaque fois que soit le bit inversé, soit le bit lui-même, qu'il n'a donc pas de consommation de courant pour les deux bits, il s'est néanmoins avéré qu'il peut se produire des problèmes lors du passage d'un mode de préparation à un mode de données. Ainsi, l'étage de commutation connecte, selon l'occupation de ses entrées, deux chemins de VDD sur le bit ou le bit inversé BitQ de ses deux sorties, de sorte qu'il soit obtenu comme résultat un nombre logiquement valide. Toutefois, du fait de sa réalisation en one hot' spéciale, l'étage de commutation a des noeuds internes qui, en mode de préparation, donc lorsqu'il est présent du côté de l'entrée et du côté de la sortie un fonctionnement à précharge ou un fonctionnement à prédécharge, sont découplés, donc en quelque sorte flottent. Si un tel 2885428 9 noeud interne était, dans le mode de données précédent, à un potentiel élevé, donc chargé, du fait qu'il est flottant en mode de préparation, il ne perdra pas automatiquement et immédiatement sa charge. De ce fait, il peut arriver que par exemple sur la ligne de bit de l'un des bits de résultat soit commuté un trajet VDD et que sur le bit inversé du même bit de résultat soit commutée une charge résiduelle interne que possède le noeud flottant. Il se produit ainsi une situation dans laquelle le bit entraîné doit tout d'abord combattre la charge résiduelle sur BitQ. Il y circule une composante transversale de courant induit et le circuit devient plus lent que nécessaire. Par ailleurs, il s'est avéré que, par suite de capacités de couplage inévitables, cet effet peut même être considérablement amplifié, de sorte que, dans des conditions particulièrement défavorables, ce n'est pas le bit entraîné, mais bien la charge résiduelle qui gagne en quelque sorte et le bit entraîné "est retourné". Cela a même pour conséquence que le résultat calculé est erroné. L'objet de la présente invention consiste à créer une unité de calcul rapide et sûre. Cet objet est résolu par une unité de calcul selon la revendication L La présente invention se base sur la connaissance du fait que de tels noeuds internes qui, en mode de préparation, ne sont couplés ni à un potentiel de l'étage d'entrée ni à un potentiel de l'étage de sortie, ne peuvent pas être laissés à leur état flottant en mode de préparation, mais doivent être contrôlés. Aussi, selon l'invention, il est prévu un circuit de potentiel de noeud qui est réalisé de manière à coupler, en mode de préparation, les noeuds internes à un potentiel de référence. Dans un exemple de réalisation préféré, le potentiel de référence est le potentiel de masse ou Vss, de sorte que les noeuds internes sont, dans l'étage de commutation, désormais déchargés de manière définie, au lieu d'être à leur état flottant. Cela a pour résultat qu'ils déchargent 2885428 10 leur charge de manière définie et sont, de ce fait, préparés de manière optimale pour le mode de données suivant. Lorsque, notamment en mode de données, un bit es entraîné, il ne doit pas combattre une charge résiduelle présente sur le bit complémentaire, mais a la voie libre. îl est ainsi, d'une part, évité la composante transversale de courant induit. D'autre part, un tel circuit peut être synchronisé plus rapidement, étant donné que lors de la synchronisation du circuit, il n'y a plus lieu de tenir compte des temps qui étaient sinon nécessaires pour qu'il s'établisse un état stable, que le bit entraîné ait procédé avec succès contre les charges résiduelles. Par ailleurs, il est en tout cas assuré qu'il ne soit pas obtenu de résultat erroné par suite de l'effet de capacité de couplage décrit. Le concept selon l'invention conduit donc à une unité de calcul qui n'a plus de pénalités de performance réduite, plus de composante transversale de courant induit et plus de manque de sécurité de fonctionnement. Le traitement défini selon l'invention des bits internes présente, par ailleurs, un autre avantage de sécurité substantiel. Ainsi, selon l'invention, par le couplage des noeuds internes à un potentiel de référence, il est assuré que l'état interne de l'étage de commutation soit réglé de la même manière à chaque cycle. Cela résulte en une indépendance totale du profil de courant des données d'entrée. Dans un exemple de réalisation préféré, il est procédé à une décharge des noeuds internes de l'étage de commutation qui fonctionne selon une spécification de demi-additionneur, de sorte qu'un demi-additionneur selon l'invention fonctionnera. Le demi-additionneur selon l'invention économise de l'espace en ce sens que l'étage de commutation ne doit calculer qu'un bit de sortie, de la mise en oeuvre dépendant que l'étage de commutation fournisse le bit de sortie lui-même ou la version inversée du bit de sortie. L'on comprendra que l'information requise est contenue tant dans la le bit de sortie que dans le bit de sortie inversé. 2885428 11 Le bit complémentaire correspondant non calculé par l'étage de commutation est alors généré dans l'étage de sortie, et ce déjà en mode de préparation, donc en mode de précharge ou d prédécharge. Selon le mode de réalisation, en mode de données, il n'est alors converti qu'un seul bit de sortie de l'étage de sortie, notamment soit le bit de sortie lui- même, soit la version inversée du bit de sortie par rapport à l'état de précharge, de sorte que, en mode de données, le demi-additionneur sort un bit qui a été calculé par l'étage de commutation et qui a été converti par rapport au mode de précharge, tandis que l'autre bit a, en mode de données, la même valeur qu'en mode de préparation et a déjà été généré dans le cycle de préparation précédant le cycle de données. Le circuit selon l'invention est à économie de surface en ce que l'étage de commutation calcule le bit inversé ou le bit non inversé, selon la mise en oeuvre, et ne doit pas calculer les deux bits. Le deuxième bit est alors généré à l'étage de sortie à précharge/prédécharge à double rail. Par ailleurs, le circuit selon l'invention est avantageux en ce qu'il peut être mis en oeuvre avec peu de transistors. C'est le cas lorsque l'étage de commutation est réalisé de sorte que par ce dernier le potentiel de calcul est connecté, en fonction des trois opérandes d'entrée à une sortie, par l'un de trois trajets différents. Pour chaque branchement de trajet, il est préférable de prendre le même nombre de transistors, de sorte que chaque trajet du potentiel de calcul à une sortie pouvant être mis en oeuvre par l'étage entraîne un même nombre de commutations de transistor, de sorte que de l'extérieur ne soit pas visible, à l'aide du profil d'énergie, le trajet qui est emprunté par l'étage de commutation. De ce fait, on ne peut pas voir, sur base de la consommation de courant, les opérandes d'entrée qui étaient présents dans le cycle de calcul actuel. Le circuit selon l'invention est, par ailleurs, avantageux, en ce qu'il permet une grande flexibilité. Ainsi, pour chaque bit de sortie est prévu un étage de commutation propre. Une sécurité de courant est 2885428 12 déjà obtenue lorsque le nombre de transistors dans un trajet dans un étage de commutation est égal au nombre de transistors d'autres trajets dans le même étage de commutation. Il ne doit toutefois pas y avoir de nombre égal de transistors d'un étage de commutation à l'autre. Par conséquent, des spécifications de demi-additionneur arbitraires peuvent être mises en oeuvre pour les bits individuels, sans que ne soit présent de surcharge de transistors, en ce sens que par exemple tous les étages de commutation doivent avoir le même nombre de transistors. Par la mise en oeuvre de spécifications de demi-additionneur arbitraires en ce qui concerne le codage du côté de la sortie du résultat du demiadditionneur (pondération binaire, code de gris, pondération décimale, etc.), il peut donc toujours être trouvé un étage de commutation conçu à nombre de transistors optimalement réduit. Par ailleurs, le circuit selon l'invention est à faible composante transversale de courant induit et, dans le cas idéal, même exempt de composante transversale de courant induit, étant donné qu'il n'est requis que des conversions d'un seul noeud de sortie de l'étage de sortie. Ainsi, en mode de préparation, un bit de sortie est déjà toujours calculé en quelque sorte par soupçon, tandis qu'en mode de données, il ne doit être converti qu'un seul bit des deux bits de sortie d'un étage de sortie. Cette conversion a lieu sans composante transversale de courant induit du potentiel élevé (par exemple Vdd) au faible potentiel (Vss) et a, en outre, une faible consommation de courant, comparé au cas où il y a toujours lieu de convertir deux bits de sortie. Le circuit selon l'invention est donc non seulement à faible composante transversale de courant induit, mais également favorable en ce qui concerne sa consommation de courant d'ensemble, ce qui est avantageux en particulier pour les applications dans lesquelles, par exemple, une carte à puce n'a pas d'alimentation de tension autosuffisant sous forme d'une batterie, telles que par exemple les applications sans contact. Le circuit selon l'invention peut, par ailleurs, être mis en oeuvre de manière favorable, étant donné que les différents étages ne doivent 2885428 13 pas être mis en oeuvre entièrement selon la technique CMOS. Au lieu de cela, pour les différents étages suffisent soit des transistors exclusivement NMOS, soit des transistors PMOS. Les deux transistors ne sont toutefois pas absolument nécessaires dans tous les étages, comme c'est par contre le cas pour une conception entièrement CMOS dans laquelle à un transistor PMOS est toujours assigné un transistor complémentaire approprié (transistor NMOS). Par ailleurs, le circuit selon l'invention est flexible en ce que le potentiel de calcul qui est connecté par l'étage de commutation, selon les opérandes d'entrée, à une sortie, peut être le potentiel élevé Vdd ou le faible potentiel Vss. S'il est sélectionné, pour le potentiel de calcul, le potentiel élevé Vdd, il doit être utilisé, pour le potentiel de préparation à l'étage de sortie, l'autre potentiel, donc dans le présent cas, le faible potentiel Vss. Par contre, s'il est utilisé à l'étage de commutation, comme potentiel de calcul, le faible potentiel Vss, il doit être utilisé, à l'étage de sortie, un potentiel de préparation qui diffère du potentiel de calcul. Dans ce dernier cas, ce serait le potentiel élevé Vdd. Le demi-additionneur selon l'invention contribue ainsi à un additionneur à 3 opérandes sûr, puissant et à surface minimale. Les opérandes qui sont présents à l'unité de calcul à 3 opérandes sont typiquement mémorisés dans des éléments de mémoire, tels que par exemple des cellules SRAM et sont alimentés en réalisation à double rail vers l'unité de calcul, pour obtenir une sécurité aux attaques sur base de l'énergie. Etant donné que l'additionneur complet qui suit le demi-additionneur peut être réalisé compact selon la logique à précharge à double rail, les connexions entre le demi-additionneur et l'additionneur complet peuvent être réalisées, quant à elles, selon la logique à double rail avec technique de précharge/prédécharge. Le demi-additionneur selon l'invention à surfaceminimale et sûr est basé sur la réalisation "one hot". Pour chaque profil binaire présent, il est commuté exactement un trajet dans chaque étage de commutation. Aussi, dans le cas de deux bits de sortie, il est commuté deux trajets pour chaque 2885428 14 profil binaire des trois opérandes présents. Ces deux trajets sont nécessaires, pour calculer pour l'étage de sortie chaque fois un bit, tandis que l'autre bit est en quelque sorte généré par l'étage de sortie lui-même, c'est-à-dire "repris" du mode de préparation précédent. Pour chaque profil binaire quelconque présent à l'entrée, la somme totale des capacités à convertir est identique. De ce fait, le profil binaire présent ne peut pas être reconnu de l'extérieur pendant les opérations de commutation dans le demi-additionneur. Selon l'invention, il est préférable, pour obtenir une puissance aussi grande que possible, d'équiper les trajets à commuter d'aussi peu de transistors que possible. Cela peut être effectué à volonté individuellement pour chaque étage de commutation, selon la spécification de demi-additionneur, de sorte qu'un étage de commutation qui a une spécification de demi-additionneur plus complexe ne "dicte" pas en quelque sorte le nombre de transistors pour un autre étage de commutation qui a une spécification de demi-additionneur moins complexe. Le demi-additionneur selon l'invention est, dans sa forme préférée, utilisé comme additionneur à 3 opérandes avec trois opérandes d'entrée, pour générer deux bits de sortie à pondération binaire. En connectant l'un derrière l'autre plusieurs de ces additionneurs à 3 opérandes, il peut être utilisé des additionneurs à N opérandes arbitraires, par exemple pour l'exécution d'un algorithme ZDN non seulement triple, mais bien n-multiple. Grâce à un tel additionneur à N opérandes, qui se compose de plusieurs additionneurs à 3 opérandes suivant l'invention connectés l'un derrière l'autre, la performance par surface de puce est davantage augmentée, et ce avec une surcharge de surface qui est sousproportionnelle au gain de performance. Le demi-additionneur selon l'invention a toutefois aussi le potentiel d'être utilisé comme additionneur à N opérandes direct, sans utilisation d'éléments d'additionneur à 3 opérandes connectés l'un 2885428 15 derrière l'autre, en utilisant d'autres spécifications de demi- additionneur pour par exemple plus de deux bits de sortie, par exemple selon des tables de vérité correspondantes, par exemple pour un additionneur à 7 opérandes. Un additionneur à 7 opérandes, par exemple, a au maximum sept uns, lorsque les sept bits d'opérande d'entrée sont égaux à 1. Le nombre décimal 7 peut être représenté par un total de trois bits de sortie en pondération binaire. Aussi, pour un demi-additionneur à 7 opérandes suffiraient déjà trois bits de sortie. Ci-après sont décrits en détail des exemples de réalisation préférés de la présente invention, en référence aux dessins joints en annexe, dans lesquels: la figure 1 est un schéma-bloc d'un demi-additionneur avec un nombre à volonté d'opérandes d'entrée et un nombre correspondant de bits de sortie; la figure 2 illustre un tableau de possibles combinaisons du potentiel de calcul, du potentiel de préparation et d'une technologie de transistors correspondante; la figure 3 illustre une table de vérité pour un demi-additionneur à 3 opérandes avec deux bits de sortie SUM1 et SUMO; la figure 4 une représentation schématisée d'étages de commutation à différents potentiels de calcul; la figure 5a illustre un exemple de trajets à travers les étages de commutation pour un profil binaire d'opérande déterminé ; la figure 5b est un exemple de représentation de différents trajets 25 à travers les étages de commutation pour un profil binaire d'opérande alternatif; les figures 6A et 6B illustrent un schémabloc au niveau de transistors pour un demi-additionneur préféré selon la présente invention avec un étage d'entrée à double rail, deux étages de 30 commutation et deux étages de sortie à double rail; 2885428 16 la figure 6C illustre une forme préférée d'un circuit de potentiel de noeud pour le couplage d'un noeud interne à un potentiel de référence en mode de préparation; et la figure 7 illustre un additionneur à trois opérandes connu avec des demi-additionneurs à trois bits et des additionneurs complets à deux bits câblés en conséquence pour des tranches de bits dune unité de calcul de nombres longs. Ci-après est exposé, en référence aux figures 1 à 6C, le concept selon l'invention, à l'aide d'un demi-additionneur. L'attention est toutefois attirée sur le fait que la présente invention peut être appliquée à toutes les unités de calcul qui fonctionnent, pour le calcul, sur base d'un étage de commutation non réalisé selon la technique entièrement à double rail et qui, selon une spécification d'additionneur, ne calcule qu'un seul bit de sortie en reliant, selon la spécification de calcul, le bit de sortie ou le bit de sortie inversé au potentiel de calcul, tandis que le bit complémentaire à ce dernier est alors complété dans un étage de sortie correspondant et est, notamment repris du cycle de préparation précédent et éventuellement stabilisé en conséquence. En particulier, la présente invention est applicable dans toute unité de calcul avec un telle étage, lorsque l'étage présente au moins un noeud interne qui, en mode de préparation, est couplé ni à un potentiel de l'étage d'entrée, ni à un potentiel de l'étage de sortie. La figure 1 illustre un schéma-bloc schématisé d'un demi-additionneur selon l'invention destiné à additionner des bits de plusieurs opérandes d'entrée qui sont illustrés à la figure 1 de sorte qu'ils soient amenés à un étage d'entrée 10. Les M opérandes d'entrée sont désignés à la figure 1 par Al, A2, A3, ..., AM. A la figure 6A et la figure 6B, il n'est alors considéré, par exemple, que trois opérandes d'entrée qui y sont désignés par C, N, Z. Un nombre quelconque d'opérandes d'entrée peuvent être alimentés vers l'étage d'entrée 10. Par ailleurs, l'étage d'entrée est réalisé sous forme d'étage d'entrée à double 2885428 17 rail, il reçoit donc pour chaque opérande d'entrée encore la version complémentaire de ce dernier. L'étage d'entrée est principalement actif pour distribuer les opérandes d'entrée et les opérandes d'entrée complémentaires vers les n étages de commutation 12a, 12b, 12c illustrés à la figure 1. L'étage d'entrée a donc des sorties pour chaque étage de commutation, le nombre de sorties étant le double du nombre d'opérandes d'entrée. Pour l'étage de commutation pour le bit n à la figure 1, l'étage d'entrée a donc une première sortie 1 la par laquelle passe l'opérande Al et une deuxième sortie 1 lb par laquelle passe l'opérande complémentaire à A 1. Par une troisième sortie Il c passe A2 et par une quatrième sortie 1 l d passe l'opérande complémentaire à A2, etc. Par ailleurs, l'attention est attirée sur le fait que M et n sont différents. Si M est égal à 1, n sera = 1. Si M est 2 ou 3, n sera = 2. Si M est compris entre 4 et 7, n sera = 3. Si M est compris entre 9 et 15, puis n sera = 4. L'étage de commutation 12a est associé au bit de sortie 0, qui est également appelé bit SUMO. Le bit SUMO complémentaire à ce dernier est également illustré du côté de la sortie à la figure 1. L'étage de 20 commutation 12b est associé au bit de sortie 1, qui est également appelé bit SUM1. Le bit SUM1 complémentaire à ce dernier est également illustré du côté de la sortie à la figure 1. L'étage de commutation 12e est prévu pour le bit de sortie n. Celui-ci est également appelé bit SUMn. Le bit SUMn complémentaire à ce dernier est également illustré du côté de la sortie à la figure 1. A chaque étage de commutation 12a, 12b, 12c est associé un étage de sortie 14c, tel que visible à la figure 1. En particulier, l'étage de sortie 14a est disposé après l'étage de commutation 12a pour le bit 0. L'étage de sortie 14b est disposé après l'étage de commutation 12b pour le bit 1. L'étape de sortie 14e est disposé après l'étage de commutation 12e pour le bit n. 2885428 18 Tel que visible à la figure 1, à chaque étage de commutation peut, par ailleurs, être amené un potentiel de calcul pour cet étage, tel que représenté par les connexions de potentiel de calcul 16a, 160 et 16c. En principe, à chaque étage de commutation peut être amené un potentiel de calcul propre qui, dans un exemple de réalisation préféré, est soit un potentiel élevé Vdd, soit un faible potentiel Vss. Pour des raisons de mise en oeuvre de circuit, il est toutefois préférable d'amener à chaque étage de commutation le même potentiel de calcul 16c, 16b, 16a, qui est soit Vss, soit Vdd. S'il existe la possibilité que le circuit mis en oeuvre ait plus de deux potentiels, il peut également être amené aux étages 12a, 12b, 12c des potentiels de calcul s'écartant de Vss ou Vdd. Les étages de commutation 12a, 12b, 12c sont actifs pour amener à une sortie 18a, 18b, 18c le potentiel de calcul 16a, 16b, 16c qui leur a été alimenté, le potentiel de tension amené à la sortie 18a, 18b, 18c représentant le bit de sortie ou une version inversée du bit de sortie. L'attention est attirée ici sur le fait que le bit de sortie est conçu comme bit logique, donc comme "0" logique ou comme "1" logique. Si, à la sortie 18a de l'étage de commutation 12a, le potentiel de calcul 16a est, par suite d'une connexion conductrice formée par l'étape de commutation 12a, amenée de l'entrée 16a à la sortie 18a, la valeur de tension présente à la sortie 18a peut représenter soit le bit de sortie logique SUMO de l'étage de sortie 14a connecté en aval, soit le bit inversé SUMO, selon la mise en oeuvre choisie. L'étage de sortie 14a reçoit, comme signal d'entrée, le signal à la sortie 18a de l'étage de commutation ainsi que, comme autre signal d'entrée, un potentiel de préparation à une connexion 2Oa. La situation pour les étages de sortie 14b et 14c est correspondante, lesquels reçoivent leurs potentiels de préparation via les entrées 2Ob ou 2Oc. Chaque étage de sortie comporte deux sorties 22a, 22b. L'étage de sortie 14b pour le bit 1 comporte, de manière correspondante, également deux sorties 24a, 24b. De manière analogue, l'étage de sortie 14c pour le bit n comporte également deux sorties 26a, 26b. La sortie 22a de l'étage de sortie 14a pour le bit 0 fournit le bit de sortie inversé SUMO. De manière correspondante, l.. sortie 22b de l'étage de sortie 14a fournit le bit de sortie non inversé SUMO. Le demi-additionneur illustré à la figure 1. comporte, par ailleurs, un dispositif de commande 28 destiné à régler un mode de données et un mode de préparation, en mode de préparation pouvant être exécuté soit un mode de précharge, soit un mode de prédécharge. La présence d'un mode de données ou d'un mode de préparation est signalée aux étages de sortie 14a, 14b ou 14c par des lignes de commande 28a, 28b, 28c. Optionnellement, l'étage d'entrée 10 peut également fonctionner en mode de données ou en mode de préparation. Cela est signalé par le dispositif de commande 28 à l'étage d'entrée via une autre de ligne de commande 28d. En mode de données, le bit de sortie est présent, à une sortie d'un étage de sortie, sous forme non inversée, donc SUMO, SUM1 ou SUMn. A l'autre sortie est présent, en mode de données, une version inversée du bit de sortie, donc SUMO, SUMI ou SUMn. Les étages de sortie sont, par ailleurs, actifs pour appliquer à une sortie et à l'autre sortie, en un mode de préparation, le même potentiel de préparation qui est amené à l'étage de sortie via l'entrée correspondante 20a, 20b ou 20e, le potentiel de préparation qui est amené à un étage de sortie, par exemple via l'entrée 20a, différant, selon l'invention, du potentiel de calcul qui est amené à l'étage de commutation connecté avant l'étage de sortie considéré, par exemple via l'entrée 16a. Le mode de préparation est, dans l'exemple de réalisation illustré à la figure 1, signalé aux différents étages de sortie par le dispositif de commande 28, via les lignes de commande 28a, 28b ou 28c. Dans les étages de commutation 12C, 12B, 12A est, par ailleurs, représenté schématiquement un noeud interne qui, en mode de 2885428 20 préparation, n'est couplé à aucun potentiel, ni du côté de l'entrée, ni du côté de la sortie, et est, de ce fait, flottant en mode de préparation. Le circuit à potentiel de noeud selon l'invention est réalisé de manière à relier chacun de ces noeuds internes, en mode de préparation, à un potentiel de référence qui est, de préférence, le potentiel de masse. A cet effet, le dispositif de commande 28 comporte une autre ligne de commande 28E qui est couplée à chaque étage de commutation et, en particulier, à chaque interrupteur de décharge pour chaque noeud interne dans les étages de commutation correspondants. A la ligne de commande 28E est fourni un signal qui est synchrone avec les signaux sur les lignes de commande 28A à 28D, le même signal étant, de préférence, utilisé à l'étage d'entrée et à l'étage de sortie correspondant, selon la mise en oeuvre des interrupteurs et du mode de préparation. Selon la mise en oeuvre des interrupteurs des circuits de potentiels de noeud, il peut toutefois aussi être utilisé des signaux complémentaires entre eux, par exemple sur la ligne 28E et la ligne 28D. Ci-après sont détaillés, en référence à la figure 2, des combinaisons préférées de potentiel de calcul, de potentiel de préparation et de technologie de transistors. S'il est amené à un étage de commutation (entrée 16a), comme potentiel de calcul, le potentiel élevé Vdd d'un circuit, le potentiel de préparation différent de l'étage de sortie connecté en aval est le faible potentiel Vss. L'amenée du faible potentiel Vss comme potentiel de préparation entraîne une prédécharge dans l'étage de sortie (par exemple 14a), de sorte que, en mode de préparation, les deux bits SUMO, SUMO ont un faible état de tension et représentent, de ce fait, dans l'exemple représenté ici, un "0" logique. En mode de données, le potentiel de calcul élevé Vdd est amené de l'étage de commutation 12a à l'étage de sortie 14a comme bit SUMO ou bit SUMO, et ce selon le profil binaire des trois bits d'opérande d'entrée, de sorte que, en mode de données, seul un bit de sortie SUMO 2.1 ou SUAIO sera converti, c'est-à-dire changé de l'état logique "0" à 1 état logique "1". Au cas où i' est pris Vdd comme potentiel le calcul, et Vss comme potentiel de préparation, la technologie PMOS est préférée comme technologie de transistors, étant donné que les transistors PMOS commutent de manière plus favorable un potentiel de calcul élevé. Par contre, s'il est pris, dans l'autre cas, comme potentiel de calcul, le faible potentiel Vss et qu'il est alors pris, en conséquence, comme potentiel de préparation, le potentiel élevé Vdd, il se produit dans l'étage de sortie un mode de précharge, en ce que les deux bits de sortie SUMO, SUMO de l'étage de sortie 14a représentent, par exemple, un "1" logique. Le faible potentiel Vss est amené par l'étage de commutation soit comme bit, soit comme bit à l'étage de sortie 14a qui convertit alors uniquement l'un des deux bits de sortie SUMO ou SUMO à l'état faible, donc le change d'un "1" logique à un "0" logique. Dans ce cas, il est préféré à l'étage de commutation, comme technologie de transistors, la technologie NMOS, étant donné que celle-ci convient le mieux pour commuter des potentiels de faible tension. La figure 3 illustre sous forme de tableau une spécification préférée de demi-additionneur pour un additionneur à 3 opérandes, pour calculer, pour chaque profil binaire des opérandes d'entrée Ci, Ni et Zi, des bits de sortie SUM1, SUMO correspondants. La spécification de demi-additionneur à la figure 3 est réalisée sous forme de "compteur de uns", le nombre de uns étant représenté par les bits SUMO, SUM1 en pondération binaire. Les deux bits de sortie SUM1 et SUMO représentent donc un nombre binaire, le bit SUM 1 étant le MSB de ce nombre binaire, et le bit SUMO étant le LSB de ce nombre. Aussi, les deux bits de sortie SUM1 et SUMO représentent en codage binaire le nombre de uns de chaque profil binaire des opérandes d'entrée. Ce n'est que dans le cas où les trois opérandes d'entrée ont un " 1" logique que sont placés les deux bits SUM1 et SUMO, ce qui correspond au nombre binaire "11" qui, en représentation décimale, est égal au nombre 3. II est évident pour l'homme de l'art qu'à '_'aide de la systématique de la figure 3 peuvent être construits des demi-additionneurs à N opérandes arbitraires. Par exemple, s'il est construit un demi-additionneur à 7 opérandes, il est requis, pour la représentation du cas maximum où les sept opérandes ont un "1" logique, un nombre de trois bits de sortie, étant donné que le nombre binaire "1 1 1" correspond au nombre décimal "7". Aussi, pour les demi-additionneurs avec un nombre supérieur à sept opérandes, il est requis un nombre supérieur de bits de sortie en conséquence lorsque la pondération binaire normale est utilisée. Par ailleurs, on peut voir de la systématique de la figure 3 qu'il peut également être utilisé un autre codage lorsque cela est favorable pour un cas spécial. Ainsi, la signification des bits SUM1, SUMO peut être réglée arbitrairement, en ce sens qu'une configuration binaire de SUMO et SUM 1 par exemple comme "1 1" indique que le nombre de zéros dans les bits d'entrée C, N, Z est égal à 3, ce qui est équivalent au fait que le nombre de uns dans C, N, Z est égal à 0 dans la configuration binaire déterminée considérée. Les lignes 41, 42 et 43 représentent des potentiels plans nodaux dont les branchements peuvent être réalisés par des transistors correspondants dans l'étage de commutation. Ces transistors conduisent à des noeuds internes qui, en mode de préparation, sont découplés tant de l'entrée que de la sortie et qui sont, en mode de préparation, reliés, selon l'invention, par un circuit de potentiel de noeud additionnel au potentiel de référence, le potentiel de référence étant, de préférence, le potentiel de masse. Le potentiel de référence ne doit toutefois pas nécessairement être le potentiel de masse. En fonction du mode de préparation, donc de s'il est utilisé un fonctionnement à précharge ou un fonctionnement à prédécharge, et en fonction de la mise en oeuvre du circuit, donc de s'il 2885428 23 est utilisé le bit lui-même ou le bit inversé, le potentiel de référence peut également être le potentiel élevé, donc Vdd. Ci-après sont présentés, en référence aux figures 5a et 5b, deux trajets chaque fois différents à travers les différents étages de 5 commutation pour différents profils binaires. A la figure 5a est illustré, à titre d'exemple, le cas où le premier opérande est égal à 1, le deuxième opérande est égal à 0, et le troisième opérande est égal à 1. Pour l'étage de commutation 14a, cela signifie qu'il est parcouru un premier noeud de commutation 50a en ce qu'il est pris un branchement de 450, étant donné que le premier opérande est égal à 1. Un deuxième noeud de commutation 50b est traité en ce que le trajet est continué horizontalement, étant donné que le deuxième opérande est égal à O. Un troisième noeud de commutation 50c est parcouru en ce sens qu'il est à nouveau pris un branchement de 45 , étant donné que le troisième opérande est égal à 1. Cela a pour conséquence que le potentiel de calcul Vss détermine, du côté de la sortie, le bit non inversé de l'étage de commutation. En mode de données, un état de tension Vss pour le bit non inversé fait que l'étage de sortie 14b, connecté après l'étage de commutation 14a, qui avait les deux sorties 22a, 22b à l'état "1", décharge le bit non inversé SUMO (22b) à l'état faible, tandis que le bit inversé SUMO 22a reste à l'état élevé. L'étage de commutation 14b a comme potentiel de calcul le potentiel élevé Vdd. Dans un premier noeud de branchement 52a, il est pris un branchement de 45 . Dans un deuxième noeud de branchement 52b, qui correspond au deuxième opérande, il est pris un branchement horizontal. Dans un troisième noeud de branchement 52c, qui correspond au troisième opérande, il est pris un branchement de 45 , de sorte que soit finalement présent à la sortie 18b, qui correspond au bit non inversé, le potentiel de tension élevée Vdd. Le potentiel de tension élevé à la sortie 18b fait que, à l'étage de sortie 14b de la figure 1, le bit non inversé SUM1 24b est amené de son état bas, qu'il avait en mode de préparation, à l'état logiquement haut, tandis que le bit inversé SZM1 est laissé à son état déjà existant du mode de préparation, donc à l'état bas '0'. On peut voir de la description qui précède que l'étage de commutation ne doit calculer qu'un seul bit, donc le bit inversé ou non inversé, tandis que le deuxième bit est alors repris par l'étage de sortie du mode de préparation précédent. On peut voir, par ailleurs, que, par exemple à l'étage de commutation 14a à la figure 5a, il peut être sélectionné huit trajets différents selon les huit combinaisons différentes des trois opérandes d'entrée. Toutefois, comme on peut le voir de l'étage de commutation 14b de la figure 5a, dans le cas où le premier opérande d'entrée et le deuxième opérande d'entrée étaient déjà égaux à 0, où le trajet est donc continué horizontalement à un noeud de branchement 52d, il n'est plus associé de point de branchement propre au troisième opérande. Cela est visible sans autre au fait que, dans le cas où le premier et le deuxième opérande étaient déjà égaux à 0, il ne peut plus se présenter que tout au plus un 1 parmi les trois opérandes, notamment le 1 du troisième opérande, ce qui a en tout cas pour résultat que le bit SUM1, tel que visible à la table de vérité, est égal à 0. Aussi, le potentiel élevé Vdd détermine l'état du bit inversé Bit à un "1" logique, de sorte que, en mode de données, le bit non inversé est égal à 0, tel que cela est requis par la table de vérité de la figure 3. A la figure 5b est représentée une combinaison binaire alternative des trois opérandes, et ce le cas dans lequel les trois opérandes sont égaux à 1. A l'étage de commutation 14a est pris le trajet dessiné à la figure 5b, lequel comporte uniquement des branchements de 45 . Le trajet se termine finalement en ce que le faible potentiel Vss, qui représente un logique "0", est présent au bit inversé Bit. A l'étage de 30 commutation 14b, il est déjà clair, sur base des deux premiers opérandes, que le bit doit être réglé de sorte que le résultat, notamment 2885428 25 Vdd, à la sortie non inversée 18b de l'étage de commutation, ne dépende plus du troisième opérande, de sorte qu'il ne doive plus être associé de peint de branchement propre au troisième opérande. Ii est, par ailleurs, visible aux figures 5a et 5b que le nombre de points de branchement, notamment quatre à l'étage de commutation 14b et cinq à l'étage de commutation 14a, ne doit pas être identique pour chaque étage de commutation. Il est plutôt recherché un étage de commutation avec le moins possible de points de branchement possible, étant donné que le nombre de points de branchement détermine finalement le nombre de transistors à l'étage de commutation et, de ce fait, la précieuse surface de puce. Une sécurité aux attaques sur base de l'énergie est toutefois déjà obtenue par le fait que chaque trajet à travers un étage de commutation comporte le même nombre de points de branchement, le nombre de points de branchement ne devant toutefois pas être obligatoirement identique d'un étage de commutation à l'autre. Une telle non uniformité ne donne à l'agresseur que l'information qu'il a été commuté dans deux étages. Cette information n'est toutefois d'aucune utilité pour l'agresseur, étant donné que cette circonstance est de toute manière claire. Un agresseur ne peut toutefois pas identifier le trajet qui a été relié dans un étage, pour pouvoir en déduire dans certaines conditions les valeurs des trois opérandes d'entrée. Pour des raisons de clarté, à la figure 5a et à la figure 5b est encore représenté, à droite, le mode de préparation associé qui est déterminé par le potentiel de préparation associé à un étage de sortie, lequel diffère, selon l'invention, du potentiel de calcul. Ainsi. l'étage de commutation 14b a pour conséquence, du fait du potentiel de calcul élevé Vdd, que l'étage de sortie associé a un autre potentiel de préparation, notamment le faible potentiel Vss, lorsque le circuit ne met à disposition que deux potentiels différents. 2885428 26 De manière analogue, l'étage de commutation 14a a pour conséquence, du fait du faible potentiel de calcul Vss, un potentiel de préparation élevé. Ci-après, référence est faite, à l'aide de la figure 6, à un exemple de réalisation préféré de la présente invention au niveau de transistors. A la figure 5a et à la figure 5b sont à nouveau illustrés des noeuds de branchement 52A à 52D ou 5OA à 5OC qui, à leur tour, conduisent à des noeuds internes qui sont portés par le circuit de potentiel de noeud selon l'invention à un état de potentiel de référence défini. La figure 6A et la figure 6B illustrent, ensemble et en représentation modulaire, des mises en oeuvre de transistor préférés d'un étage d'entrée à double rail (bloc 10 de la figure 1), d'étages de commutation (blocs 12a, 12b de la figure 1) et d'étages de sortie (blocs 14a, 14b de la figure 1), le concept selon l'invention étant décrit à l'aide d'une mise en oeuvre de demi-additionneur, tel que représenté dans le brevet allemand DE 10307942 B3. L'attention est toutefois attirée sur le fait que, au lieu d'une spécification de demi-additionneur, telle que réalisée par les étages de commutation à la figure 6A et la figure 6B, il peut également être mis en oeuvre une autre spécification de calcul, telle que par exemple une spécification de calcul d'additionneur complet, une spécification de calcul d'inverseur ou toute autre spécification de calcul logique et/ou arithmétique. Par ailleurs, l'attention est attirée sur le fait que la présente invention n'est pas limitée à trois opérandes d'entrée, mais est applicable à tout nombre d'opérandes d'entrée, donc également à uniquement un seul opérande d'entrée. Dans ce dernier cas, la spécification de calcul serait par exemple une spécification d'inverseur qui, en ce qui concerne l'étage de commutation correspondant, est mise en oeuvre de sorte qu'il existe au moins un noeud interne qui, en mode de préparation, est découplé tant du côté de l'entrée que du côté de la sortie et, de ce fait, flotte, donc peut avoir des charges résiduelles qui, dans le cas défavorable, donc sans les principes selon l'invention, peut entraîner un ralentissement 2885428 27 du circuit, des composantes transversales de courant induit et même un faussement du résultat. Ci-après est décrite la mise en oeuvre de l'étage dentrée à double rail (bloc 10 à la figure 1). L'étage d'entrée à double rail à la figure 6 comporte tout d'abord six entrées pour les trois opérandes Z, N et C comme bits non inversés. Les bits sont amenés à l'étage d'entrée à double rail tel que visible à la figure 6. L'étage d'entrée contient, par ailleurs, tel qu'indiqué à la figure 1 par la ligne 28d, un signal de précharge Vss, pour porter l'étage d'entrée en mode de préparation à un état de préchargedans lequel les six entrées sont portées au même potentiel. Ce potentiel est, tel que visible en référence à la situation d'alimentation de tension à la figure 6, le potentiel élevé, étant donné que l'étage d'entrée à double rail est alimenté par le potentiel élevé Vdd en différents points. Pour le déclenchement de l'état de précharge, donc en mode de préparation, les transistors réalisés sous forme de transistors PMOS à la figure 6 sont pourvus, à leur porte de déclenchement, d'un faible potentiel Vss, pour qu'ils commutent, tel que visible à la figure 6, pour porter tous les noeuds de bit d'opérande et tous les noeuds pour les bits d'opérande inversé au potentiel Vdd. En particulier, chaque étage d'entrée à double rail comporte quatre transistors 600, 601, 602 et 603, ci-après n'étant expliqué, uniquement à titre d'exemple et de représentation du deuxième et du troisième opérande, que l'étage d'entrée associé au premier opérande. Les deux transistors 601, 600 servent à appliquer, en mode de préparation dans lequel le signal de précharge est actif, dans lequel Vss est donc présent sur la ligne 28d, la haute tension Vdd présente d'un côté des deux transistors sur les noeuds de sortie 604, 605 pour le premier bit d'opérande inversé et le premier bit d'opérande non inversé. De cette manière, les deux transistors 603, 602 sont immédiatement fermés, étant donné qu'ils ont le potentiel élevé Vdd à leur connexion de porte respective. 2885428 28 Par contre, en mode de données, la ligne 28d est au potentiel élevé Vdd, ce qui fait que les deux transistors 601 et 600 sont inactifs. Les deux transistors 602, 603 servent à la stabilisation des n di ton s en mode de données. Par exemple, si le bit d'opérande N est haut, le transistor 602 est fermé, de sorte que le potentiel Vdd d'un côté du transistor 602 ne peut pas arriver au noeud 604. Le noeud 604, étant donné qu'il représente le bit inversé N, du premier opérande, est notamment à un faible potentiel. Ce faible potentiel fait que le transistor 603 est ouvert. Toutefois, à l'état idéal, il ne circule pas de courant, étant donné que le noeud 605 est également à Vdd. Le transistor 603 sert toutefois à stabiliser et éventuellement à recharger le potentiel élevé sur le noeud 605, s'il se produit à un endroit quelconque des courants de fuite. L'étage d'entrée à double rail sert donc à générer, en mode de préparation, des potentiels identiques sur les lignes binaires et, en mode de données, à stabiliser les conditions sur les lignes binaires. Par ailleurs, l'étape d'entrée à double rail sert à distribuer les bits d'opérande sur les rails de distribution 611, 612 et 613 vers les étages de commutation. Pour chaque opérande ou opérande complémentaire, l'étage d'entrée à double rail a une première sortie 1la ou une deuxième sortie llb. Tel qu'illustré à la figure 6A et à la figure 6B, les deux étages de commutation sont réalisés de sorte qu'ils reçoivent, comme potentiel de calcul, le potentiel élevé Vdd, tel qu'illustré par les alimentations de tension 16a pour le premier étage de commutation et 16b pour le deuxième étage de commutation. Ainsi, l'étage de commutation pour le bit 0 ou pour le bit pour générer le bit 0 (SUMO 22b ou SUMO 22a) se compose en tout de dix transistors 620-629, deux transistors formant ensemble toujours un point de branchement des points de branchement 30 illustrés aux figures 5a et 5b. De manière analogue, l'étage de commutation pour le bit 1 (SUM1 24b ou SUM1 24a) se compose 2885428 29 uniquement de huit transistors 630637, les transistors disposés par paire définissant également toujours un point de branchement. L'attention est, par ailleurs, attirée sur le fait que la situation du potentiel de calcul 16a, 16b correspond au potentiel élevé Vdd de la situation que présente l'étage de commutation 12b aux figures 4, 5a et 5b. En particulier, les transistors 630 et 631 correspondent au point de branchement 52a. Les transistors 632, 633 correspondent au point de branchement 52b de la figure 5a. Les deux transistors 634 et 635 correspondent au point de branchement 52d à la figure 5a. Enfin, les transistors 636 et 637 correspondent au point de branchement 52c. De manière analogue, les deux transistors 620 et 621 correspondent, dans l'étage de commutation pour le bit 0, au point de branchement 50a de la figure 5a. Les transistors 622, 623 correspondent au point de branchement 50b de la figure 5a. Les transistors 626 et 627 correspondent au point de branchement 50c de la figure 5a. Les étages de commutation comportent, par ailleurs, un rail de sortie illustré en 639 à la figure 6, lequel représente en même temps le rail d'entrée pour les étages de sortie connectés en aval. Les deux lignes droites du rail de sortie 639 sont associées à l'étage de sortie supérieur 14b, tandis que les deux lignes gauches sont associées au rail de sortie 639 de l'étage de sortie inférieur 40a. L'attention est attirée sur le fait que les transistors sont actifs dans les étages de sortie pour ne commuter qu'un seul trajet de la connexion 16b ou 16b vers l'une des lignes du rail de sortie 40. On peut voir, par ailleurs, que chaque trajet comporte le même nombre de transistors, quel que soit le trajet qui a été réglé par un étage de commutation en fonction du profil binaire. A la figure 6, on voit, par ailleurs, que, dans l'exemple de réalisation illustré, un point de branchement est, par utilisation d'un bit d'opérande complémentaire, mis en oeuvre en plus du bit d'opérande non inversé. Cela permet une mise en oeuvre simple en ce qu'il n'est utilisé que deux transistors, et qu'il n'est pas requis d'examen du bit 2885428 30 pour savoir si le bit a un 0 ou un 1. Alternativement, il pourrait toutefois également être utilisé, bien que ce ne soit pas préféré en ce qui concerne la mise en oeuvre et de possibles pénalités de sécurité, une mise en oeuvre dans laquelle seuls des opérandes à un seul rail sont alimentés vers les étages de commutation. Dans ce cas, chaque point de branchement comprendrait un dispositif supplémentaire, en vue d'examiner si le bit alimenté est un 1 ou un 0, afin de commuter un trajet correspondant. Dans ce cas, le demi-additionneur selon l'invention pourrait également être utilisé pour la conversion de rail simple en rail double, pour convertir les données en simple rail présents du côté de l'entrée en données en double rail du côté de la sortie, les données en double rail du côté de la sortie ayant, par ailleurs, été dérivées, selon la spécification de demi-additionneur, des données à simple rail du côté de l'entrée. La fonctionnalité des deux transistors fonctionnant comme commutateurs, par exemple 620 et 621, qui représentent le point de branchement 50a à la figure 5a, est évidente lorsqu'il est supposé que, en mode de données, ce n'est toujours qu'un seul transistor qui commute, tandis que l'autre transistor se ferme, de sorte qu'il n'est toujours pris qu'un seul trajet, soit vers le haut, soit vers le bas, mais jamais deux trajets en même temps. Etant donné que, en mode de données, les deux noeuds 605 et 604, donc les deux bits qui représentent, en mode de données, le premier opérande, sont à Vdd, les transistors 620 et 621 sont tous deux fermés en mode de préparation, de sorte qu'il ne peut pas circuler de composantes transversales de courant induit. Du fait qu'il est utilisé une précharge à l'étage d'entrée et des transistors PMOS à l'étage de commutation, l'étage de commutation est automatiquement désactivé en mode de préparation, de sorte qu'il ne puisse pas s'écouler de composantes transversales de courant induit du noeud 16a ou 16b. Si l'étage d'entrée à double rail était soumis à un fonctionnement à décharge, il serait préférable de 2885428 31 réaliser les transistors des étages de commutation selon la technique NMOS avec un potentiel de calcul correspondant (Vss dans ce cas). Ci-après est expliquée, à titre d'exemple, la mise en ceu.;re du point de vue transistors de l'étage de sortie 14a qui présente, en tout quatre transistors 640, 641, 642 et 643. Etant donné qu'il est pris, comme potentiel de calcul 16a, 16b, le potentiel élevé Vdd, il est utilisé, à la figure 6, comme potentiel de préparation, le faible potentiel Vss 20a. En conséquence, dans le deuxième étage de sortie 14b, il est également utilisé, comme potentiel de préparation, le faible potentiel Vss, donc un potentiel qui diffère du potentiel de calcul Vdd. Les étages de sortie 14a, 14b sont soumis, en mode de préparation, à un signal de prédécharge qui, du fait de la réalisation des transistors 640 à 643 selon la technologie NMOS, est un signal haute tension Vdd. Par contre, en mode de données, sur la ligne 28a, 28b est présent le faible potentiel Vss, pour fermer les transistors de décharge 641, 640. Si l'étage de sortie 14a (tout comme l'étage de sortie 14b) est, par contre, actionné en mode de préparation, Vdd est présent sur les lignes 28a, 28b (qui, dans la mise en oeuvre réelle, sont réalisées comme ligne commune). Cela a pour résultat que les deux noeuds 22a, 22b sont placés sur Vss, étant donné que les deux transistors 640, 641, qui sont réalisés selon la technique NMOS, sont commutés. Cela a pour conséquence directe que le transistor 643 est également fermé, tout comme le transistor 642. Aussi, en mode de préparation, les transistors 643, 642 n'ont pas d'effet. Par contre, en mode de données, les transistors de décharge 640 et 641 sont fermés, tel qu'il a été expliqué. En mode de données, l'un des noeuds 22a, 22b devient élevé, du fait que l'étage de commutation a commuté le potentiel Vdd 16a soit sur le noeud 22a, soit sur le noeud 22b. Pour expliquer le fonctionnement des transistors 642 et 643, il est supposé que le noeud 22b est haut. Cela a pour résultat que le transistor 642 est commuté, pour placer le noeud 22a sûrement au faible potentiel Vss. De ce fait, il est simultanément 2885428 32 garanti que le transistor 643 est fermé, ce qui, à son tour, a pour résultat que le potentiel Vss qui est présent d'un côté du transistor 643 ne peut pas être présent au noeud 22b, étant donné que le noeud 22b reste haut, tandis que le noeud 22a reste sûrement bas, de sorte qu'il est obtenu un résultat univoque, notamment que le bit SUMO est haut. tandis que le bit complémentaire SL:LIO est bas. De ce fait, l'étage de sortie a, outre la fonctionnalité de fournir en quelque sorte le bit non déterminé par l'étage de commutation en mode de données (du fait du mode de préparation précédent), également la fonctionnalité de stabiliser, en mode de données, les deux bits et, en particulier, le bit fourni par l'étage de commutation contre des fuites de charge. Par ailleurs, la mise en oeuvre préférée selon l'invention des étages de sortie selon la figure 6 présente l'avantage qu'il ne circule pas de composantes transversales de courant induit, de sorte que le circuit de demi-additionneur selôn l'invention a, outre sa propriété d'efficacité de surface et la propriété de haute performance, également une faible consommation de courant. Aux figures 6A et 6B sont, par ailleurs, représentés des noeuds internes 700 à 706 qui sont tous disposés dans l'étage de commutation et qui, en mode de préparation, ne sont, ni du côté de l'entrée, ni du côté de la sortie, couplé à quelque potentiel défini que ce soit. Pour chaque noeud interne, il est, de préférence, prévu un circuit de potentiel de noeud, pour relier le noeud, en mode de préparation, au potentiel de référence. Toutefois, selon la mise en oeuvre, le traitement d'au moins certains des noeuds internes aura également déjà pour résultat une amélioration par rapport à un circuit à noeuds internes complètement flottants, de sorte que les composantes transversales de courant induit sont déjà sensiblement réduites. Par ailleurs, dans certains cas, il pourrait également suffire de ne traiter de manière particulière en mode de préparation que les noeuds internes qui sont particulièrement sensibles à des charges résiduelles et, en particulier, également particulièrement sensibles à des capacités de couplage. De ce fait, ii. peut également être obtenu au moins une augmentation de la sécurité de fonctionnement dans les étages à grand nombre de noeuds internes, sans que le nombre de transistors de l'étage d commutation ne soit considérablement augmenté par un nombre excessif de circuits de potentiel de noeud. La figure 6C illustre un circuit de potentiel de noeud préféré selon l'invention 710 pour un noeud interne. Le circuit de potentiel de noeud est réalisé sous forme de commutateur, une connexion du commutateur étant reliée au noeud interne, tandis que l'autre connexion du commutateur est reliée au potentiel de référence. A la connexion de commande du commutateur est appliqué le signal de commande. Dans l'exemple de réalisation préféré de la présente invention, le commutateur est réalisé sous forme de transistor NMOS ou PMOS. En fonction de la réalisation de transistor du commutateur, le signal de commande aura un état logiquement haut ou logiquement bas lorsqu'il est actif en mode de préparation. Cet état doit être sélectionné de sorte que le transistor devienne, dans sa réalisation choisie en conséquence comme transistor PMOS ou NMOS, conducteur en mode de préparation entre source et drain, de sorte que soit maintenue la connexion entre noeud et potentiel de référence. Par contre, le signal de commande doit être choisi de sorte que le transistor de commutateur soit ouvert en mode de données, donc que le noeud interne ne note rien du potentiel de référence et qu'il soit relié, selon la spécification de calcul de l'unité de calcul et du ou des opérandes d'entrée, à un potentiel élevé ou faible. 2885428 34 REVENDICATIONS 1. Unité de calcul, aux caractéristiques suivantes: un étage d'entrée à double rail (10). destiné à recevoir au moins un opérande d'entrée et à sortir l'opérande d'entrée sous forme non inversée vers une première sortie (11a) de l'étage d'entrée à double rail (10) et l'opérande d'entrée sous forme inversée vers une deuxième sortie (1 lb) de l'étage d'entrée à double rail (10) dans un mode de données, l'étage d'entrée (10) étant, par ailleurs, réalisé de manière à porter, dans un mode de préparation, la première et la deuxième sortie (11a, 11 b) au même potentiel; un étage de commutation (12A, 12B, 12C), qui est réalisé de manière à commuter, selon une spécification de calcul pour un bit de sortie en fonction de l'au moins un opérande d'entrée, un potentiel de calcul (16A, 16B, 16C) à une sortie (18A, 18B, 18C) de l'étage de commutation, le potentiel de calcul à la sortie représentant le bit de sortie ou une version inversée du bit de sortie; un étage de sortie à double rail (14A, 14B, 14C) avec une entrée qui est reliée à la sortie (18A, 18B, 18C) de l'étage de commutation (12A, 12B, 12C) et avec une première sortie (26B) et avec une deuxième sortie (26A), dans un mode de données étant appliqué à la première sortie (26B) le bit de sortie, en mode de données étant appliqué à la deuxième sortie (26A) une version inversée du bit de sortie, et la première sortie (26B) et la deuxième sortie (26A) pouvant, dans un mode de préparation, être portées au même potentiel de préparation, le potentiel de préparation (Vss) étant différent du potentiel de calcul (Vdd), l'étage de commutation (12A, 12B, 12C) présentant au moins un noeud interne (700 à 706) qui, en mode de préparation, est couplé ni à un potentiel à la première ou deuxième entrée (11a, 1 lb) de l'étage d'entrée, ni à un potentiel à l'entrée de l'étage de sortie (14A, 14B, 14C) ; et un circuit de potentiel de noeud (710), destiné à coupler le noeud interne 700 à 706), en mode de préparation, à un potentiel de référence 2885428 35 (Vss) et à découpler le noeud interne (700 à 706), en mode de données, du potentiel de référence (Vss). 2. Unité de calcul selon la revendication 1, dans laquelle le potentiel de référence (Vss) est plus faible que le potentiel de calcul (Vdd). 3. Unité de calcul selon la revendication 1 ou 2, dans laquelle le circuit de potentiel de noeud (710) pour chaque noeud interne (700 à 706) présente un commutateur qui est connecté entre le noeud interne et le potentiel de référence (Vss), une entrée de commande pouvant être soumise à un signal de commande (28E) qui est actif en mode de préparation et qui est inactif en mode de données. 4. Unité de calcul selon la revendication 3, présentant, par ailleurs, un dispositif de commande (28) destiné à signaler, pour l'étage d'entrée (10) et l'étage de sortie (14A, 14B, 14C), alternativement le mode de données et le mode de préparation, le dispositif de commande étant, par ailleurs, réalisé de manière à fournir le signal de commande au circuit de potentiel de noeud (710). 5. Unité de calcul selon l'une des revendications précédentes, dans laquelle le potentiel de référence est un potentiel de masse, de sorte que l'au moins un noeud interne (700 à 706) soit déchargé, en mode de préparation, au potentiel de masse. 6. Unité de calcul selon l'une des revendications précédentes, dans laquelle l'étage de sortie (14A, 14B, 14C) est réalisé de manière à décharger, en mode de préparation, la première et la deuxième sortie (26A, 26B) de l'étage de sortie. 7. Unité de calcul selon l'une des revendications précédentes, dans laquelle l'étage d'entrée (10) est réalisée de manière à charger, en mode de préparation, la première sortie et la deuxième sortie de l'étage d'entrée (10) à un potentiel élevé (Vdd).