FR 2943153 A1 20100917 FR 0951605 A 20090313 -1- L'invention concerne les aéronefs et en particulier la protection des données à bord des aéronefs. Les avions militaires peuvent embarquer des données sensibles telles que des plans de vol de mission, des clés de chiffrement ou de déchiffrement de communications, etc. Pour des raisons évidentes, ces données ne doivent pas être récupérées par un ennemi. Or, en cas de crash ou d'interception d'un aéronef en territoire ennemi, la confidentialité des données embarquées n'est pas garantie. Il serait donc possible pour l'ennemi de récupérer ces données et de les utiliser à des fins militaires, ce qui n'est pas acceptable. Par ailleurs, le démontage d'un équipement de bord par un opérateur de maintenance soulève aussi la question de la protection des données. Si cet équipement comprend des données sensibles, elles risquent d'être disséminées, en particulier si l'équipement est débarqué. Dans le cas où l'équipement est envoyé à un atelier de réparation de l'opérateur de maintenance, l'équipement et donc les données qu'il contient restent théoriquement sous le contrôle de ce dernier. On réduit ainsi les risques de dissémination des données; Mais cette solution pose des difficultés lorsque la maintenance est sous-traitée. Et dans le cas où l'équipement est envoyé chez le fournisseur pour réparation par exemple, la question de la dissémination reste entière. Un but de l'invention est de renforcer la protection des données à bord, en particulier des données sensibles. A cet effet, on prévoit selon l'invention un aéronef, qui comprend : - des moyens pour commander un stockage, à bord, de données d'un type prédéterminé uniquement sur une ou plusieurs mémoires, et - des moyens automatisés pour commander, lorsque survient un événement prédéterminé, une destruction des données ainsi stockées. Ainsi, la destruction des données sur la ou chaque mémoire qui les contenaient empêche leur transmission à l'ennemi s'il met ensuite la main sur ces mémoires. On réduit donc les risques d'utilisation malveillante des données. De même, un opérateur interne ou externe peut intervenir sur la mémoire sans aucun risque de dissémination des données. Avantageusement, l'aéronef comprend au moins l'un des organes suivants aptes à signaler la survenue de l'événement prédéterminé : - un capteur d'humidité ; - un capteur de température ; - un accéléromètre ou un capteur de chocs ; 2943153 -2- - un capteur ou relais inertiel ; - un organe de commande manuelle ; - un organe de positionnement géographique ; 5 - un altimètre ; - un ordinateur de bord ; - un discret ; - un récepteur radio ; - un capteur de démontage de la mémoire ou de l'une des mémoires; et 10 - un capteur d'éjection d'un pilote ou d'une commande de cette éjection. De préférence, la mémoire ou l'une des mémoires est une mémoire volatile. Cette mémoire a pour avantage que son contenu peut être effacé de manière sécurisée lorsqu'elle n'est plus alimentée en courant électrique. Cet effacement est rapide car il ne prend que quelques millisecondes. De plus, il est sûr dans la mesure où les 15 informations ainsi effacées ne sont plus récupérables au contraire de ce qui se passe avec d'autres types de mémoire. Il s'agit en effet d'un effacement physique et non d'un effacement logique dans lequel les données demeurent dans la mémoire. Avantageusement, l'aéronef comprend des moyens pour maintenir la mémoire ou l'une des mémoires sous tension lorsque le ou chaque réseau principal d'alimentation en 20 courant de l'aéronef est hors tension. Ainsi, on simplifie la gestion des données à bord. Même lorsque le ou les réseaux principaux de l'aéronef sont hors tension, les données sont présentes dans la mémoire et il n'est pas besoin de les transférer sur un autre support avant la mise hors tension de l'aéronef. 25 De préférence, la destruction comprend la mise hors tension de la mémoire. On assure ainsi de façon simple et rapide la destruction des données. De préférence, la mémoire ou l'une des mémoires est une mémoire flash. Contrairement à la mémoire de type volatile, cette mémoire conserve les données même lorsqu'elle est hors tension. On peut donc conserver les données à bord dans la 30 mémoire même après extinction de tous les systèmes de l'aéronef. Ce mode de réalisation est donc plus adapté à certaines utilisations. Avantageusement, les moyens sont aptes à commander la destruction selon au moins l'un des modes suivants : - un effacement des données, 35 - une mise à feu d'une charge pyrotechnique, - une attaque chimique, et 2943153 -3- - une soumission à une surtension électrique. De préférence, la mémoire étant une mémoire principale, l'aéronef comprend une mémoire annexe et des moyens pour commander une copie des données à partir de la 5 mémoire principale sur la mémoire annexe en présence d'un deuxième événement prédéterminé. Ainsi, notamment dans le cadre d'un démontage, voire d'un débarquement, de la mémoire principale, on sauvegarde les données sur la mémoire annexe. On préserve donc l'intégrité de ces données tout en prévenant leur dissémination dans le cadre de la 10 maintenance. On prévoit également selon l'invention un procédé de protection de données à bord d'un aéronef, dans lequel : - on stocke, à bord, des données d'un type prédéterminé uniquement sur une ou plusieurs mémoires, et 15 - lorsque survient un événement prédéterminé, on commande de façon automatisée une destruction des données ainsi stockées. On prévoit aussi selon l'invention un programme d'ordinateur qui comprend des instructions de code aptes à commander la mise en oeuvre des étapes d'un procédé selon l'invention lorsqu'il est exécuté sur un ordinateur. 20 On prévoit également selon l'invention un support d'enregistrement de données qui comprend un programme selon l'invention sous forme enregistrée. On prévoit enfin selon l'invention la mise à disposition d'un programme selon l'invention sur un réseau de télécommunications en vue de son téléchargement. D'autres caractéristiques et avantages de l'invention apparaîtront encore dans la 25 description suivante de deux modes de réalisation donnés à titre d'exemples non-limitatifs en référence aux dessins annexés sur lesquels : - la figure 1 est une vue de face d'un avion selon un mode de réalisation de l'invention ; - la figure 2 est un schéma du dispositif de mise en oeuvre de l'invention à bord de 30 l'avion de la figure 1 ; - les figures 3, 4 et 5 sont des organigrammes illustrant la mise en oeuvre du procédé selon l'invention à bord de l'avion de la figure 1 ; et - les figures 6, 7 et 8 sont des vues analogues respectivement aux figures 2, 4 et 5 illustrant un deuxième mode de réalisation de l'invention. 2943153 -4- L'invention est applicable à tout type de véhicule terrestre, maritime, aérien ou spatial. Elle s'applique aussi bien aux véhicules roulants qu'aux véhicules volant ou navigant sur ou sous l'eau. Dans le présent exemple, l'aéronef 2 selon l'invention est un aérodyne tel qu'un 5 avion. L'avion 2 de la figure 1 comprend en l'espèce un fuselage 4, deux ailes 6, un empennage 8 et des moteurs 10. Ces moteurs en l'espèce comprennent des propulseurs à hélice et sont au nombre de quatre. Dans le présent exemple, l'avion 2 est à usage militaire mais l'invention s'applique également aux avions à usage civil. L'invention concerne les systèmes d'information embarqués à bord de l'avion. Elle 10 vise à garantir la confidentialité des données sensibles embarquées en procédant si besoin à un effacement sécurisé de ces dernières. Il s'agit en particulier de protéger des données dites sensibles telles que des données dont la possession est susceptible de fournir un avantage substantiel à des personnes animées d'intentions malveillantes. Comme on va le voir dans le premier mode de réalisation, l'invention permet d'effectuer 15 dans un laps de temps très court un effacement sécurisé des données embarquées. L'invention est mise en oeuvre à bord au moyen du système 12 illustré à la figure 2 dans le premier mode de réalisation. Ce système est en communication avec les autres systèmes connus classiquement à bord (système de pilotage, système de navigation, etc.). Le système 12 comprend un dispositif d'interface réseau 14 avec lequel 20 il peut communiquer avec ces autres systèmes ou avec des réseaux de télécommunication extérieurs à l'avion. Le système 12 comprend un processeur ou unité centrale 16 (ou CPU de l'anglais central processing unit). Le système comprend un dispositif de mémoire ou mémoire 18 apte à recevoir des 25 données et à les conserver sous forme enregistrée pour les restituer. Il s'agit ici d'une mémoire de type RAM, pour l'anglais random access memory, qui signifie "mémoire à accès aléatoire". En l'espèce, il s'agit d'une mémoire vive ou encore volatile. Il pourra en particulier s'agir d'une mémoire vive dite statique ou d'une mémoire vive de type dynamique. 30 Une telle mémoire 18 ne conserve les données sous forme enregistrée que tant qu'elle est sous tension, c'est-à-dire que tant qu'elle est alimentée en courant électrique. On prévoit donc une alimentation électrique 20 reliée d'une part au réseau électrique de bord principal (ou à l'un d'entre eux s'il y a plusieurs) et d'autre part à la mémoire pour l'alimentation en courant de cette dernière. Lorsque le ou les réseaux électriques de bord 35 de l'avion sont éteints, la mémoire 18 est alimentée au moyen d'une batterie 22 du système 12 qui permet de maintenir la mémoire 18 sous tension. 2943153 -5- Ainsi, lorsque le ou les réseaux électriques de bord sont activés, l'alimentation 20 maintient sous tension la mémoire 18, ce qui en préserve les données. Lorsque l'avion est éteint et que les réseaux électriques de bord ne sont plus sous tension, une tension est maintenue aux bornes de la mémoire grâce à la batterie 22. 5 Le système 12 a notamment pour charge de collecter et d'héberger les données sensibles sans qu'elles soient hébergées ailleurs à bord de l'avion. En effet, dans ce mode de réalisation, les systèmes à bord de l'avion, et en particulier le processeur 16, sont agencés pour commander le stockage des données sensibles, à bord, uniquement sur la mémoire flash. 10 Les données sont chargées dans la mémoire à partir de l'interface réseau 14 en transitant par le processeur 16. L'unité centrale est connectée d'une part à l'interface réseau 14 et d'autre part à la mémoire 18 afin d'échanger des données avec ces deux éléments. Le système 12 comprend en outre un dispositif 24 de coupure de l'alimentation 15 électrique de la mémoire 18. Ce dispositif est interposé entre, d'une part, l'alimentation électrique 20 et la batterie 22 et, d'autre part, la mémoire. Il s'agira par exemple d'un relais. Le système 12 comprend aussi au moins un organe 26 tel qu'un capteur qui sert à signaler à l'unité centrale 16 qu'un événement prédéterminé est survenu. 20 Dans le présent exemple, de nombreux organes sont reliés à l'unité centrale 16 en vue de détecter la survenue d'un événement prédéterminé. Ces organes sont les suivants : - un capteur d'humidité qui permet de détecter que l'avion a amerri ; - un capteur de température qui permet d'identifier qu'il y a un feu à bord ; 25 - un accéléromètre qui permet de détecter que l'avion est en chute ou qui, en tant que capteur de choc, permet de reconnaître une collision de l'avion ; - un ou plusieurs capteurs ou relais inertiels ; - un organe de commande manuelle à bord tel qu'un bouton-poussoir : cet organe permettra à un opérateur à bord, par exemple un pilote dans le cockpit, de commander 30 manuellement l'effacement des données sur la mémoire 18 ; - un organe de positionnement géographique tel qu'un capteur GPS (de l'anglais Global positioning system): il permet de détecter que l'avion est entré dans une zone particulière ou a quitté une zone particulière ; - un altimètre : il permet de détecter que l'altitude de l'avion a franchi un seuil 35 prédéterminé et donc de signaler que cette altitude est trop basse ou trop haute par rapport aux circonstances ; 2943153 -6- - un ordinateur de bord : il permet de transmettre à l'unité centrale 16 un flux de données via le réseau de bord, ce flux comprenant un ordre d'effacement de la mémoire 18; - un discret qui est un fil relié à un organe prédéterminé de l'avion et pouvant 5 prendre, suivant les circonstances, un état "0" ou un état "1"; - un récepteur radio qui permet de transmettre à l'unité centrale 16 un ordre d'effacement des données de la mémoire 18, ordre transmis depuis l'extérieur de l'avion, par exemple via un satellite ; - un capteur de démontage de la mémoire 18 : ce capteur permet de détecter que le 10 dispositif constituant la mémoire 18 est ôté de son logement, par exemple ôté de son rack dans la baie avionique. On peut ainsi déclencher un effacement des données sensibles lorsque la mémoire est enlevée de son rack pour une opération de maintenance par exemple ; et - un capteur d'éjection d'un pilote de l'avion ou de détection d'une commande en ce 15 sens : lorsque le pilote s'éjecte, les données sont supprimées. En l'espèce, l'accéléromètre sera un organe fournissant en toutes circonstances une mesure d'accélération ou de décélération à traiter par une électronique de commande, tandis que le capteur inertiel est de nature mécanique et détecte qu'un seuil de déclenchement a été franchi. 20 Cette liste n'est pas exhaustive et d'autres types d'organes peuvent être utilisés dans d'autres modes de réalisation pour identifier des événements prédéterminés dont la survenue doit déclencher un ordre d'effacement des données par le processeur 16. Inversement, un seul ou seulement quelques-uns d'entre eux pourront être retenus. Pour certains au moins de ces capteurs, il est possible de définir une valeur de seuil 25 telle que, si une grandeur fournie par le capteur franchit ce seuil (par-dessus ou par-dessous selon les cas), le processeur 16 considère que l'évènement prédéterminé est survenu. Ainsi, lorsque l'un de ces capteurs fournit une grandeur qui dépasse un seuil prédéterminé, le dispositif 24 est activé de sorte que l'alimentation électrique de la 30 mémoire 18 est coupée. Ainsi, les données embarquées se trouvent effacées de façon sûre et sécurisée. En effet, la récupération a posteriori des données présentes initialement dans une mémoire volatile n'est pas possible. Le système 12 comprend aussi un organe 28 permettant de sauvegarder les données présentes sur la mémoire 18 dans des circonstances particulières, par exemple 35 lorsque survient un autre événement prédéterminé. L'organe 28 est pour cela connecté de façon adaptée à la mémoire 16 et comprend lui-même une mémoire. 2943153 -7- Le dispositif 28 constitue un média externe et permet de sauvegarder les données dans différentes circonstances. C'est le cas par exemple lorsque la batterie 22 s'apprête à ne plus être disponible alors que les réseaux principaux d'alimentation électrique de l'avion sont éteints. Cela 5 peut se produire en cas de grand froid à bord, par exemple lorsque la température descend au-dessous de -15° Celsius. Cela se produit aussi lorsque le réseau électrique à bord est coupé pour une très longue période, de sorte que la batterie 22 ne pourra plus être rechargée par ce dernier, comme elle l'est habituellement de façon fréquente 10 Ainsi, le dispositif 28 permet de recueillir les données présentes dans la mémoire 18 lorsque cette dernière doit être démontée pour des raisons de maintenance et que les données doivent en être effacées. Ce recueil de données peut être prévu pour être déclenché manuellement par un opérateur. On peut en outre prévoir un recueil automatique lorsqu'un événement d'un type prédéterminé est détecté. 15 Les étapes de mise en oeuvre du procédé selon l'invention ont été illustrées à la figure 3 dans le cas général. On suppose qu'on se trouve à l'étape initiale 30 dans laquelle des données sensibles ont été chargées dans la mémoire 18. A l'étape suivante 32, l'un des événements de type prédéterminé survient. 20 A l'étape suivante 34, le capteur associé à ce type d'événement détecte cette survenue. A l'étape suivante 36, le processeur 16, prévenu par le capteur de la survenue de cet événement, commande la coupure de l'alimentation électrique au dispositif 24. Ainsi, à l'étape suivante 38, les données sensibles de la mémoire 16 sont effacées 25 de manière sécurisée. Un cas plus précis de ce déroulement a été illustré à la figure 4. On a ainsi précisé à l'étape 32 que l'événement prédéterminé est que l'avion est en perdition. A l'étape 34, le pilote déclenche son éjection de l'appareil et ce déclenchement est détecté par le capteur 26 associé. Les autres étapes 36 et 38 sont inchangées. L'étape 37 a été illustrée, qui 30 consiste en la coupure de l'alimentation de la mémoire volatile. Un autre exemple précis a été illustré à la figure 5. Il est similaire à celui de la figure 4. Cette fois à l'étape 32, l'avion est touché par un missile. A l'étape 34, c'est un capteur inertiel embarqué qui détecte une chute importante de l'avion. Par exemple, le capteur inertiel détecte que l'accélération dans l'axe vertical de l'avion dépasse 10G. Les 35 autres étapes sont inchangées. 2943153 -8- On observera qu'une fois déclenché le processus d'effacement des données, il est impossible à arrêter de sorte que les données sont nécessairement effacées de façon complète et sécurisée. Ce mode de réalisation permet un effacement des données même en cas de dégradation du système contenant les données sensibles, par exemple en cas 5 de choc ou d'amerrissage. On a illustré à la figure 6 un deuxième mode de réalisation de l'invention. Il diffère de celui de la figure 2 par le fait que la mémoire 58 est cette fois de type flash. Il s'agit d'une mémoire de masse à semi-conducteur réinscriptible. Cette mémoire est à accès aléatoire et a les caractéristiques d'une mémoire vive mais ses données ne disparaissent pas lors 10 d'une mise hors tension. Pour cette raison, la batterie 22 est cette fois omise du système 12 illustré sur la figure 6. Pour les mêmes raisons, le dispositif de coupure d'alimentation électrique ne peut plus être utilisé avec cette mémoire et est ici remplacé par un dispositif de destruction des données. Ce dispositif peut être prévu pour assurer au moins l'un des 15 modes de destruction suivants : - un effacement des données ; - une mise à feu d'une charge pyrotechnique (telle qu'une micro-charge) détruisant la mémoire; - une attaque chimique détruisant la mémoire ; 20 - la soumission de la mémoire à une surtension électrique. Dans le schéma de la figure 6, le dispositif assure la destruction physique de la mémoire. Il peut donc s'agir d'un dispositif de mise à feu, d'un dispositif d'attaque chimique ou de moyens pour générer une surtension. Le procédé est mis en oeuvre de façon analogue à ce qui a été décrit en référence' 25 au précédent mode. Ainsi, on a illustré à la figure 7 le déroulement général de ce procédé. Ce déroulement est identique à celui de la figure 3, mise à part l'étape 36 qui consiste cette fois en l'activation du dispositif de destruction des données de la mémoire flash. Dans l'exemple de la figure 8, on a présenté le cas où, à l'étape 32, l'avion est touché par un missile et où, à l'étape 34, le pilote appuie sur un bouton-poussoir dans le 30 cockpit pour déclencher la destruction de la mémoire. A l'étape 36, le dispositif de destruction de la mémoire agit et par exemple produit une surtension aux bornes de la mémoire qui engendre sa destruction. A l'étape 38, la mémoire est détruite et les données sensibles se trouvent donc effacées de manière sécurisée. De préférence, on donnera au système 12 une autonomie suffisante pour lui 35 permettre de détruire les données de manière autonome. Ainsi, on pourra remplacer ou compléter l'alimentation électrique 20 par une batterie classique ou encore par une 2943153 -9- batterie de condensateurs. Prévoir de tels moyens d'alimentation autonomes du dispositif de destruction physique de la mémoire, indépendants du réseau d'alimentation 20 de l'avion, permet que la destruction de la mémoire soit achevée même lorsque ce réseau est hors service. 5 Dans ces deux modes de réalisation, la mise en oeuvre du procédé est commandée par le processeur 16 au moyen d'un programme d'ordinateur comprenant des instructions de code aptes à commander l'exécution de ce procédé lorsqu'il est exécuté sur cette unité centrale. On pourra prévoir d'enregistrer ce programme sur un support d'enregistrement fixe ou amovible tel qu'un disque dur, une mémoire flash, un disque CD ou DVD, etc. On 10 pourra également prévoir de mettre ce programme à disposition sur un réseau de télécommunications en vue de son téléchargement. Ce programme, ainsi que d'autres servant au processeur 16, pourront être stockés sur la mémoire 18 ou 58, ou sur une mémoire du système non-destinée à recevoir des données sensibles. Bien entendu, on pourra apporter à l'invention de nombreuses modifications sans 15 sortir du cadre de celle-ci. On pourra utiliser un autre type de mémoire qu'une mémoire volatile ou une mémoire flash. On connaît aujourd'hui en effet deux grands types de mémoires pour stocker des données : - les mémoires de masse (de type ROM, disque dur, mémoire flash) ; et 20 - les mémoires volatiles ou RAM. Quand on commande l'effacement des données sur une mémoire de masse de façon classique, cet effacement se fait sans écrasement des données physiques. Il permet donc de récupérer facilement l'information. En fait, avec cet effacement, l'information n'est plus directement consultable mais est toujours présente sur la mémoire 25 de masse. On peut aussi procéder à cet effacement en effectuant un écrasement simple des données. Pour cela, on effectue une écriture de données aléatoires sur les données à écraser. Cet effacement est beaucoup plus sûr et acceptable sur un système. Il a toutefois pour inconvénient d'être relativement long. De plus, avec de gros moyens tels 30 qu'un microscope électronique, il est toujours possible de retrouver l'information qui devait être écrasée. Une telle incertitude n'est pas acceptable dans certains domaines, en particulier dans le domaine militaire. Enfin, une autre technique consiste en un écrasement multiple des données. Pour cela, on écrit plusieurs fois des données aléatoires sur les données à effacer dans la 35 mémoire de masse. Cette technique a pour inconvénient qu'elle est longue à mettre en oeuvre et incompatible avec un système militaire embarqué dans lequel on souhaiterait 2943153 -10- effacer en urgence les données, par exemple en cas de crash de l'aéronef. Cette technique est toutefois très sûre car elle rend impossible de récupérer les données. Par ailleurs, on pourra prévoir d'exploiter, indépendamment de l'invention, un aéronef qui comprend : 5 - au moins une mémoire volatile ; et - des moyens pour maintenir la mémoire sous tension lorsque le ou chaque réseau principal d'alimentation en courant de l'aéronef est hors tension. De même, on pourra prévoir d'exploiter, indépendamment de l'invention, un procédé de protection de données à bord d'un aéronef, procédé dans lequel on stocke des 10 données d'un type prédéterminé uniquement sur une mémoire volatile. On peut prévoir que le système 12 comprend plusieurs mémoires pour le stockage des données sensibles; On peut alors prévoir de stocker chaque donnée sur plusieurs de ces mémoires ou au contraire sur une seule d'entre elles et de répartir les données sur les mémoires. Il importe surtout de détruire toutes les données de toutes ces mémoires en 15 présence de l'événement prédéterminé. REVENDICATIONS1. Aéronef (2), caractérisé en ce qu'il comprend : - des moyens (16) pour commander un stockage, à bord, de données d'un type prédéterminé uniquement sur une ou plusieurs mémoires (18 ; 58), et - des moyens automatisés (16) pour commander, lorsque survient un événement prédéterminé, une destruction des données ainsi stockées. 2. Aéronef selon la revendication précédente, qui comprend au moins l'un des organes suivants (26) aptes à signaler la survenue de l'événement prédéterminé : - un capteur d'humidité ; - un capteur de température ; - un accéléromètre; - un capteur ou relais inertiel; - un organe de commande manuelle ; - un organe de positionnement géographique ; - un altimètre ; - un ordinateur de bord ; - un discret ; - un récepteur radio ; - un capteur de démontage de la mémoire ou de l'une des mémoires; et - un capteur d'éjection d'un pilote ou d'une commande de cette éjection. 3. Aéronef selon l'une quelconque des revendications précédentes dans lequel la mémoire ou l'une des mémoires est une mémoire volatile (18). 4. Aéronef selon la revendication précédente, qui comprend des moyens (22) pour maintenir la mémoire (18) ou l'une des mémoires sous tension lorsque le ou chaque réseau principal d'alimentation en courant de l'aéronef est hors tension. 5. Aéronef selon l'une quelconque des revendications 3 ou 4 dans lequel la destruction comprend la mise hors tension de la mémoire (18). 6. Aéronef selon l'une quelconque des revendications précédentes dans lequel la mémoire ou l'une des mémoires est une mémoire flash (58). 7. Aéronef selon l'une quelconque des revendications précédentes dans lequel les moyens sont aptes à commander la destruction selon au moins l'un des modes suivants : - un effacement des données, - une mise à feu d'une charge pyrotechnique, - une attaque chimique, et - une soumission à une surtension électrique. 2943153 -12- 8. Aéronef selon l'une quelconque des revendications précédentes dans lequel, la mémoire (18; 58) étant une mémoire principale, l'aéronef comprend une mémoire annexe (28) et des moyens (16) pour commander une copie des données à partir de la mémoire principale sur la mémoire annexe en présence d'un deuxième événement prédéterminé. 5 9. Procédé de protection de données à bord d'un aéronef, le procédé étant caractérisé en ce que : - on stocke, à bord, des données d'un type prédéterminé uniquement sur une ou plusieurs mémoires (18 ; 58), et - lorsque survient un événement prédéterminé, on commande de façon automatisée 10 une destruction des données ainsi stockées. 10. Programme d'ordinateur caractérisé en ce qu'il comprend des instructions de code aptes à commander la mise en oeuvre des étapes d'un procédé selon la revendication précédente lorsqu'il est exécuté sur un ordinateur.