FR 2896934 A1 20070803 FR 0600898 A 20060201 1 L'invention concerne un composant intégré comprenant un processeur, des horloges de séquencement et des circuits associés de traitement de données La présence de circuits numériques dans les composants électroniques induit une consommation d'énergie relativement élevée : en effet, même lorsque les circuits sont en veille et n'exécutent pas de tâches eu traitements numériques particuliers, l'activité des horloges de séquencement et de divers circuits annexes, qui restent opérationnels même en veille, en-traîne une consommation minimale permanente du composant qui n'est pas négligeable. Dans nombre de cas, cette consommation résiduelle en veille peut constituer un handicap, en particulier lorsque le composant fait partie d'un dis-positif alimenté par des piles ou une batterie. Une telle situation se présente notamment avec certains équipements électroniques utilisés à bord des véhicules automobiles, qui restent sous tension même lorsque le contact est coupé. On peut citer, à titre d'exemple non limitatif, les équipements destinés à être couplés à un téléphone portable de manière à assurer un fonctionnement "mains-libres" de ce téléphone, notamment les équipements incorporant des technologies de couplage sans fil tels que la technologie Bluetooth (marque déposée du Bluetooth SIG, Inc.) permettant de coupler le téléphone à un acaptateur de voiture non plus par un câble, mais par une liaison radio, sans fil. Pour cette application, la société Parrot SA a en particulier conçu et commercialisé des ASICs comprenant un microcontrôleur et un processeur numé- rique de signaux (DSP), et auxquels l'invention peut s'appliquer de façon avantageuse. L'invention n'est cependant aucunement limitée aux applications de télé-phonie de voiture, ni même aux circuits alimentés par batterie, et peut être mise en oeuvre de façon générale avec tous les composants nurlériques pour lesquels la consommation résiduelle en veille constitue un handicap dans l'application où ces composants sont utilisés. Pour diminuer la consommation en veille des circuits, une solution connue consiste à arrêter les horloges de séquencement lorsque le composant passe à l'état de veille, de manière à éviter les changements d'états, consommateurs d'énergie. Il existe cependant toujours une consomma- 2 tion résiduelle d'un certain nombre de portes des divers circuits, notamment pour la gestion des interruptions, de sorte que pour les circuits relativement complexes il est difficile d'abaisser la consommation résiduelle en veille du composant en deçà des limites spécifiées, par exemple en deçà de 20 pW dans le domaine de l'électronique automobile. Un premier but de l'invention est de proposer un composant qui permette de réduire encore plus la consommation résiduelle en veille, même pour des composants complexes intégrant un très grand nombre de portes. Selon un autre aspect de l'invention, du fait de la multiplicatior et de la complexité croissante des circuits et des divers logiciels qu'ils sont amenés à exécuter, le concepteur de circuits se trouve confronté à une incertitude croissante sur l'état exact des différents circuits à un instant donné. Cette incertitude peut être réellement problématique, et même; dangereuse, si le composant est utilisé pour exécuter des fonctions de sécurité prioritaires, telles que par exemple la discrimination d'une situation anormale et le déclenchement d'une alarme. Compte tenu de la très grande diversité des états possibles des divers circuits du composant à un moment donné, il ne peut être assuré à 100 % que la fonction dE sécurité sera bien déclenchée en prenant la main sur les tâches en cours, et que cette fonction sera exécutée de façon fiable jusqu'à son terme, sans ris-que de blocage ni d'erreur système. Un exemple particulier, bien entendu non limitatif, d'une telle fonction prioritaire pour laquelle il convient d'éviter tout risque de bogue, est dans le domaine automobile le déclenchement automatique d'un appel d'urgence en cas d'accident sur détection d'une brusque décélération ayant par exemple provoqué le déclenchement des "airbags" (coussins gonflables) du véhicule. II est dans ce cas absolument indispensable que l'appel d'urgence puisse être produit et transmis avec la plus grande certitude ; toute autre fonction, même en cours d'exécution, sera considérée comme se- condaire et devra pouvoir être interrompue ou inhibée et, surtout, ne doit pas risquer d'entraver le déclenchement de l'appel d'urgence. L'invention propose à cet effet un composant intégré du typE précité, c'est-à-dire comprenant un processeur, des horloges de séquencement, et des circuits associés de traitement de données numériques. 3 Selon un premier aspect de l'invention, ce composant est divisé en deux modules distincts interdépendants, avec d'une part un module opérationnel comprenant le processeur, les horloges de séquencement et les circuits associés, et d'autre part un module de contrôle. Le module de con- trôle comprend un circuit de gestion d'urgence, pour produire de,; signaux de commande du module opérationnel en réponse à la réception d'un signal déclencheur, ces signaux de commande étant propres, su'ccessivement, à remettre à zéro le module opérationnel et provoquer un redémarrage du processeur puis, après redémarrage, commander l'exécution par le processeur d'un tâche d'urgence prédéterminée. Très avantageusement, le module opérationnel est propre à fonctionner en au moins deux modes, avec un mode actif où le module opérationnel est alimenté et le processeur exécute des tâches prédéfinies, et un mode de veille où le processeur, les horloges de séquencement et les circuits associés ne sont plus alimentés, tandis que le module de contrôle reste alimenté de façon permanente. Le module de contrôle comprend alors en outre une horloge temps réel, ainsi qu'un circuit de gestion de l'alimentation, propre à piloter les transitions de mode du module opérationnel. Les signaux de commande produits par le circuit de gestion d'urgence sont également propres à préalablement placer, si nécessaire, le module opérationnel en mode actif avant de le remettre à zéro. II peut en outre être prévu, outre les modes actif et de veille, un mode arrêté où le module opérationnel reste alimenté mais où le processeur n'exécute pas de tâche, les transitions entre ces trois modes étant pilotées par le circuit de gestion de l'alimentation du module de contrôle. Le signal déclencheur peut être un signal dérivé d'un signal issu d'un capteur externe, et/ou un signal produit par une horloge temps réel du module de contrôle lorsque celle-ci atteint une date de réveil préprogrammée. Le module de contrôle peut aussi comprendre des moyens discrimina- teurs propres à détecter et analyser un signal de remise à zéro pnduit par le module opérationnel et à produire sélectivement, ou non, le s gnal déclencheur en fonction de la cause de cette remise à zéro. La tâche d'urgence prédéterminée exécutée par le module opérationnel peut comprendre la production d'un signal d'activation d'un appel télépho- nique par un dispositif externe couplé au composant, et/ou la màmorisa- 4 tion de données d'état du composant, et/ou de données de localisation délivrées par un dispositif externe couplé au composant, et/ou de don-nées vocales recueillies par un microphone ou un dispositif externe couplés au composant, et/ou de paramètres recueillis par un ou plusieurs capteurs externes couplés au composant. De préférence, les signaux de commande inhibent l'exécution de toute autre tâche que la tâche d'urgence après redémarrage du processeJr. Le module opérationnel et le module de contrôle sont avantageusement intégrés sur une même puce de composant monolithique, le ratic des sur- faces respectives occupées par le module de contrôle et par le module opérationnel sur le composant monolithique étant notamment inférieur à 1:10, de préférence inférieur à 1:20. Le module opérationnel et le module de contrôle peuvent être couplés par un circuit d'interfaçage associé à un bus standard, notamment un bus de type APB, pour lequel le module de contrôle est un module esclave lors-que le module opérationnel n'est pas dans un état de veille. 0 On va maintenant décrire un exemple de réalisation du composant de l'invention, en référence aux dessins annexés où les mêmes références numériques désignent d'une figure à l'autre des éléments identiques ou fonctionnellement semblables. La figure 1 est une vue générale du composant de l'invention, en 'orme de 25 puce monolithique de circuit intégré. La figure 2 est une illustration des blocs fonctionnels mis en oeuvre dans le module de contrôle du composant de l'invention. La figure 3 est un diagramme des transitions d'états susceptibles d'être pris par le composant de l'invention. 30 La figure 4 est un schéma illustrant un exemple d'utilisation du composant dans un système d'appel d'urgence pour véhicule automobile. 0 Sur la figure 1, la référence 10 désigne de façon générale le composant de l'invention, qui est avantageusement réalisé sous forme d'une puce monolithique de type ASIC intégrant les divers circuits que l'on décrira par la suite, distribués entre un module opérationnel 12 et un module de con- 5 trôle 14. Le module opérationnel 12 incorpore un certain nombre de circuits en eux-mêmes connus avec un processeur, ses registres, interfaces et circuits de traitement de signal numérique (DSPs) associés, ainsi que des horloges de séquencement de ces différents organes. Le module de contrôle 14, caractéristique de l'invention, est interfacé au module opérationnel 12 de la manière que l'on décrira ci-après en référence notamment à la figure 2, et il peut commander l'activation ',réveil) et la remise à zéro du module opérationnel 12. On verra en particulier que les circuits du module opérationnel 12 peuvent être mis en sommeil, c'est-à-dire désalimentés de manière à réduire dans une très forte proportion la consommation globale du circuit 10 lorsque celui-ci est à l'état de veille. La référence 16 désigne la frontière entre la partie qui peut être désalimentée sélectivement (à savoir la totalité du module opérationnel 12 et l'interface avec le module de contrôle 14) et celle qui reste alimentée même en veille. Le composant se divise ainsi en deux zones : (i) entourée par la frontière 16, une zone "Main Power" (module opérationnel 12) alimentée de façon sélective, et (ii) hors de la frontière 16, une zone "Low Power" (module de contrôle 14), alimentée de façon permanente et capable de réveiller le reste de la puce de composant en commandant sa réalimentation ; on verra également que le module de contrôle permet de gérer de façon spécifique et sûre les cas d'urgence. En pratique, le module de contrôle 14 n'occupe qu'une très faible surface de la puce de composant 10, typiquement moins de 10%, de préférence moins de 5% de la surface de la puce. Dans un exemple de réalisation, on peut ainsi avoir une puce de 25 mm2 dont le module de contrôle 14 occupe 1 mm2 seulement, ce module de contrôle étant réalisé avec un minimum de composants, de l'ordre de 2000 portes environ, indu sant une consommation inférieure à 20 pW lorsque l'ensemble du composant est à l'état de veille. La figure 2 illustre plus en détail les différents circuits composant le module de contrôle 14. Celui-ci comporte un circuit d'interfaçage 13 avec le module opérationnel (celui-ci s'étendant à droite de la frontière 16) avec lequel il communique par l'intermédiaire d'un bus 20, par exemp e un bus de type APB (Advanced Peripheral Bus), qui est un bus générique dont les performances sont bien adaptées aux applications dans le domaine de l'électronique automobile. Le circuit d'interfaçage 18 peut également en-voyer un signal d'interruption IT au module opérationnel dans les situations que l'on décrira plus bas, ainsi qu'un signal EMCY_STS (Ernergency Status) caractérisant la cause particulière pour laquelle le signal d'interruption IT a été émis, situation d'urgence ou non. L'interruption 1 est une interruption non masquable dans le cas où elle a été déclenchée dans une situation d'urgence, et masquable dans le cas contraire. La séparation matérielle entre la partie alimentée en permanence (à gau- che de la frontière 16 et celle qui est susceptible d'être désalirrentée (à droite de la frontière 16) est assurée par un circuit 22 formant b2 rrière de filtrage des commandes logiques : si ce circuit 22 est actif (par application d'une commande ENABLE), tous les signaux logiques de commande peuvent traverser la barrière, tandis que dans le cas contraire ils sont for- cés au niveau inactif pour les ordres entrants, ou au niveau bas pour les ordres sortants). Le module de contrôle 14 comporte également une horloge temps; réel 24, avec un oscillateur cadencé par exemple à 32768 Hz permettant de générer aisément un signal d'horloge à 1 Hz appliqué à un compteur 32 bits. Cette horloge temps réel est alimentée de façon permanente, le compteur ayant été initialisé normalement une seule fois, à la mise en service du composant. Le module de contrôle 14 comporte également un circuit de gestion des urgences 26 et un circuit de gestion de l'alimentation 28. Le circuit de gestion de l'alimentation 28 peut être activé dans troi3 cas de figure différents : û application d'un signal externe de réveil WKUP, -application d'un signal externe d'urgence EMCY, - application d'un signal interne RTC_ALM, issu de l'horloge ternps réel 24 et correspondant à une date de réveil programmée. La détection de l'un de ces trois signaux va provoquer la génération d'une interruption IT transmise au module opérationnel via le circuit d'interfaçage 18, la cause de réveil (celle des trois situations ci-dessus lui a déclenché la génération de l'interruption) étant indiquée par ie signal EMCY STS. L'interruption IT est non masquable si elle a été déclenchée par un signal d'urgence de type EMCY, et masquable dans le cas où elle a été déclenchée par un signal de type WKUP ou RTC_ALM. Dans le cas d'un signal d'urgence de type EMCY incident, le circuit de gestion d'alimentation 28 adresse au circuit de gestion des urgences 26 un signal déclencheur EMCY RST qui va provoquer l'application au module opérationnel d'un signal de redémarrage PWR et d'un signal de remise à zéro RST. Le module de contrôle 14 est par ailleurs couplé de manière bidirectionnelle à l'oscillateur 30 (situé dans le module opérationnel) qui pilote les horloges du module opérationnel, de manière à pouvoir d'une part détecter l'arrêt de cet oscillateur (arrêt résultant de la mise en sommeil du module opérationnel) et d'autre part commander le réveil du module opérationnel par mise en route de cet oscillateur et donc des horloges. Les deux modules du composant sont alimentés par des circuit:: respectifs séparés : (i) un circuit "Main Power" 32, produisant des tensons VDD et VSS pour le module opérationnel, et (ii) un circuit "Low Power' 34, produisant des tensions VDD_LPW et VSS_LPW pour l'alimentation permanente du module de contrôle, avec une très faible consommatio , d'énergie. La figure 3 illustre schématiquement les différents états que peul prendre le module opérationnel, avec les transitions entre ces différents états. L'état de départ est un état de remise à zéro générale G_RST (General Reset) de la totalité du composant, y compris la partie "'Low Power" constituée du module de contrôle 14. Cet état intervient à la première mise sous tension du composant, lors du branchement de l'appareil dans le véhicule, et n'est normalement pris qu'une seule fois, sauf déconnexion du boîtier ou application d'un signal spécifique RST I_PW de remise à zéro générale. L'état RST correspond à la remise à zéro fonctionnelle du composant, c'est-à-dire la remise à zéro de la seule partie "Main Power", c'est-à-dire du module opérationnel 12 avec son processeur, ses horloges, ses circuits numériques, registres, etc., l'état du module de contrôle 14 n'étant pas affecté. Cette remise à zéro fonctionnelle déclenche également un réamorçage logiciel du composant (BOOT), qui place ainsi le module opé-rationnel dans un état ON. L'état ON est un mode actif où les horloges du module opérationnel sont alimentées, ce qui a pour effet de séquencer le processeur et lui permettre d'exécuter un certain nombre d'opérations prédéfinies. L'état STOP correspond à une situation où les traitements exéculés par le processeur n'exigent pas la pleine puissance de calcul disponible : il est alors avantageux de suspendre temporairement le traitement au niveau logiciel, entre deux tâches, en arrêtant les horloges qui cadencent le processeur de manière à économiser l'énergie. Le module opérationnel 12 alterne ainsi entre deux états ON (processeur actif) et STOP (processeur arrêté au niveau logiciel) par brèves séquences de quelques millisecondes dans chaque état, selon la puissance de calcul réellemen : requise pour l'exécution du traitement. Cette alternance entre les modes ON et STOP est gérée de façon interne au module opérationnel, d'une manière en elle-même connue et indépendante des actions du module de contrôle de l'invention. L'état STBY correspond à une situation où le processeur a fini d'exécuter les tâches nécessaires au traitement qui lui ont été demandées et qu'il n'existe pas d'autre tâche en attente. Il peut alors se placer, éventuelle-ment après écoulement d'un délai prédéfini de quelques secondes, dans un mode de veille STBY (Standby), qui est un mode d'arrêt au niveau matériel, où non seulement les horloges sont arrêtées, mais également l'alimentation des divers circuits du module opérationnel est interrompue. Dans ce mode de veille STBY, la consommation du composant est uniquement celle de la partie "Low Power" constituée par le module de contrôle 14, qui ne comporte qu'un nombre très réduit de portes (de l'ordre de 2000 portes typiquement), avec une consommation extrêmement faible, pouvant être inférieure à 20 pW. Le réveil est géré par le module de contrôle en fonction des trois; causes possibles, indiquées plus haut : - date de réveil préprogrammée (signal RTC_ALM), - réveil commandé par un signal de réveil externe (signal WKUN), ù alarme transmise par un signal d'urgence externe (siignal EMCY). Dans tous les cas, la première action consiste à réalimenter Io module opérationnel, puis à déclencher une remise à zéro fonctionnelle ce celui-ci (passage à l'état RST). La remise à zéro du module opérationnel (transition vers l'état F.ST) peut être également forcée depuis les états ON ou STOP sur réception d'un signal externe d'urgence (signal EMCY) ou d'un signal spécifique de remise à zéro (RST). D'autre part, selon un aspect particulièrement avantageux de l'invention, dans le cas où la remise à zéro a été déclenchée par un signal d'urgence (ce que le processeur peut savoir selon l'état de l'indicateur EMCY_STS), le redémarrage du module opérationnel s'effectue dans un mode sécurisé ou dégradé, distinct du redémarrage normal. Ce mode sécurisé comprend l'exécution d'un nombre restreint de fonctionnalités et/ou le lancement d'un logiciel spécifique, ceci afin de réduire les risques de bogue et augmenter les chances d'exécution correctes des actions prioritaires requises par la détection du signal d'urgence. La figure 4 donne un exemple d'application du circuit de l'invention dans le domaine automobile, pour le déclenchement d'un appel d'urgence en cas d'accident. Le circuit 10 de l'invention est incorporé à un appareil 40 relié à un accéléromètre externe 42 tel que l'accéléromètre permettant de déclencher des airbags 44 en cas d'accident. Cet accéléromètre produit un signal d'urgence EMCY appliqué au circuit 10, éventuellement avec un codage spécifique du signal permettant de discriminer avec certitude le signal issu de cet accéléromètre 42 parmi d'autres signaux de données ou sig eaux parasites. Outre le bus 46 de type CAN (Controller Area Network, standard couramment utilisé dans l'industrie automobile) qui assure l'interfaçage avec les autres circuits électroniques du véhicule, le circuit 10 e.3t relié à une mémoire de stockage de données 48 et à un circuit 50 d'intsrfaçage avec un téléphone portable 52. Ce circuit 50 permet de gérer une liaison sans fil avec un téléphone portable conformément aux spécificatic ns Blue- tooth, qui permettent de détecter automatiquement la présence d'un télé- 10 phone portable compatible dans le rayon d'action de l'appareil et d'en piloter à distance toutes les fonctions (décrochage, raccrochage, numérotation, etc.) par une liaison sans fil bidirectionnelle prenant intégra ement le contrôle à distance. Le téléphone portable 52 inclut de manière en elle- même connue un module d'identification d'abonné SIM 54 en forme de carte insérée dans le téléphone 52. En variante ou en complément, les communications peuvent être également assurées par un circuit GSM 56 incorporé à l'appareil 40, la carte SIM associée pouvant être soit incorporée à l'appareil 40, comme illustré en 58, soit insérée dans un ccnnecteur du tableau de bord, comme illustré en 60. Avantageusement, le circuit 10 est par ailleurs relié à un circuit GPS 62 permettant de connaître à tout moment la position du véhicule. En cas d'accident détecté par l'accéléromètre 42, le circuit 10 exécute les fonctions indiquées plus haut, à savoir : ù le cas échéant, réveil du module opérationnel si celui-ci est à l'état de veille, en réactivant son alimentation, - en tout état de cause, remise à zéro du module opérationne , de manière à être certain que le redémarrage opéré par la suite :se fera à partir d'un état connu, quelle que soit la situation antérieure et les états des différents registres, circuits, etc. redémarrage dans un mode sécurisé, de manière à réduire au minimum les risques de blocage et de bogue, avec des fonctionnalités restreintes, ù activation automatique d'un appel par le téléphone 52 et/ou per le mo- dule GSM intégré 56, à destination d'un numéro spécifique d'un site centralisant les appels d'urgence. L'appel téléphonique peut inclure l'envoi de messages numériques courts de type SMS, et/ou l'engage-ment automatique d'une conversation audio entre le site distant et le véhicule. Par ailleurs, au moment de l'accident, un certain nombre de paramètres sont automatiquement figés et enregistrés dans la mémoire 48 dL dispositif, par exemple : ù la position géographique du véhicule donnée par le module GPS 62, - un certain nombre de paramètres de fonctionnement du véhicule tels 35 que vitesse, alarmes, état des capteurs du véhicule, ietc., 5 REVENDICATIONS 1. Un composant intégré (10) comprenant un processeur, des horloges de séquencement, et des circuits associés de traitement de donnée:; numéri-ques, caractérisé : ù en ce qu'il est divisé en deux modules distincts interdépendants, à sa-voir d'une part un module opérationnel (12) comprenant le processeur, les horloges de séquencement et les circuits associés, et d'autre part un module de contrôle (14), et en ce que le module de contrôle (14) comprend un circuit de gestion d'urgence (26), pour produire des signaux (IT, EMCY STS) de commande du module opérationnel en réponse à la réception d'un signal déclencheur (EMCY_RST), ces signaux de cormande otant propres à : remettre à zéro le module opérationnel et provoquer un redémar- rage du processeur, puis, après redémarrage, commander l'exécution par IE' processeur d'un tâche d'urgence prédéterminée. 2. Le composant de la revendication 1 dans lequel, en outre : le module opérationnel (12) est propre à fonctionner en au moins deux modes, avec un mode actif (ON) où le module opérationnel est alimenté et le processeur exécute des tâches prédéfinies, et un mode de veille (STBY) où le processeur, les horloges de séquencement et les circuits associés ne sont plus alimentés, tandis que le modulo de con- trôle reste alimenté de façon permanente, le module de contrôle (14) comprend en outre une horloge temps réel (24), ainsi qu'un circuit de gestion de l'alimentation (28), propre à piloter les transitions de mode du module opérationnel, et les signaux de commande produits par le circuit de gestion c'urgence sont également propres à préalablement placer, si nécessaire, le module opérationnel en mode actif avant de le remettre à zéro. 3. Le composant de la revendication 2, dans lequel le module opération-nel (12) est propre à fonctionner en au moins trois modes avec, outre les 13 modes actif (ON) et de veille (STBY), un mode arrêté (STOP) où le module opérationnel reste alimenté mais où le processeur' n'exécute: pas de tâche, les transitions entre ces trois modes étant pilotées par le circuit de gestion de l'alimentation (28) du module de contrôle (14;). 4. Le composant de la revendication 1, dans lequel ledit signal déclencheur (EMCY RST) est dérivé d'un signal issu d'un capteur externe. 5. Le composant de la revendication 1, dans lequel le module de contrôle 10 (14) comprend une horloge temps réel (24) et dans lequel ledit signal déclencheur (EMCY RST) est un signal produit par cette horloge temps réel lorsque celle-ci atteint une date de réveil préprogrammée. 6. Le composant de la revendication 1, dans lequel le module de contrôle 15 (14) comprend des moyens discriminateurs propres à détecter et analyser un signal de remise à zéro produit par le module opérationnel et à produire sélectivement, ou non, ledit signal déclencheur (EMCY RST) en fonction de la cause de ladite remise à zéro. 20 7. Le composant de la revendication 1, dans lequel ladite tâche d'urgence prédéterminée exécutée par le module opérationnel comprend la production d'un signal d'activation d'un appel téléphonique par un dispositif ex-terne (52, 56) couplé au composant (10). 25 8. Le composant de la revendication 1, dans lequel ladite tâche d'urgence prédéterminée exécutée par le module opérationnel comprend la mémorisation de données d'état du composant, et/ou de données de localisation délivrées par un dispositif externe (62) couplé au corposant, et/ou de données vocales recueillies par un microphone ou un dispositif externe 30 couplés au composant, et/ou de paramètres recueillis par un ou plusieurs capteurs externes couplés au composant. 9. Le composant de la revendication 1, dans lequel lesdits signaux de commande sont également propres à inhiber l'exécution de toute autre 35 tâche que la tâche d'urgence après redémarrage du processeur.5 14 10. Le composant de la revendication 1, dans lequel le module cpérationnel (12) et le module de contrôle (14) sont intégrés sur une même puce de composant monolithique (10). 11. Le composant de la revendication 10, dans lequel le ratio des surfaces respectives occupées par le module de contrôle (14) et par Io module opérationnel (12) sur le composant monolithique (10) est inférieur à 1:10, de préférence inférieur à 1:20. 10 12. Le composant de la revendication 1, dans lequel le module opérationnel (12) et le module de contrôle (14) sont couplés par un circuit d'interfaçage (18) associé à un bus standard (20), notamment un bu:; de type APB, pour lequel le module de contrôle (14) est un module esclave lors- 15 que le module opérationnel (12) n'est pas dans un état de veille (3TBY).5