Unité de commande électronique (2) pour véhicule, l’unité de commande électronique (2) comprenant un processeur principal (4), des moyens mémoire (6), une boîte noire transactionnelle (8) et une pluralité de cœurs applicatifs (10), les moyens mémoire (6) étant reliés au processeur principal (4) via un bus de communication de données (12) et stockant un chargeur d’amorçage (18) et du code applicatif (13) destiné à être exécuté par le processeur principal (4), sur la pluralité de cœurs applicatifs (10), ledit chargeur d’amorçage (18) comprenant plusieurs séquences de lancement et étant configuré, lorsqu’exécuté par le processeur principal (4), pour requérir une vérification de l’intégrité et une authentification du code applicatif (13) stocké dans les moyens mémoire (6) et pour exécuter ledit code applicatif (13) sur la pluralité de cœurs applicatifs (10) lorsque ledit code applicatif (13) a été authentifié, la boîte noire transactionnelle (8) comportant un coprocesseur de sécurité (20) et une mémoire (22), le coprocesseur de sécurité (20) étant relié au processeur principal (4) et aux moyens mémoire (6) via le bus de communication de données (12) et étant configuré pour vérifier l’intégrité et authentifier le code applicatif (13) stocké dans les moyens mémoire (6) et pour autoriser l’exécution dudit code applicatif (13) sur la pluralité de cœurs applicatifs (10), les cœurs applicatifs (10) étant reliés au processeur principal (4) via le bus de communication de données (12), caractérisé en ce que la mémoire (22) de la boîte noire transactionnelle (8) stocke un code informatique de sauvetage (24), ledit code informatique de sauvetage (24) étant destiné à être exécuté par le processeur principal (4), sur la pluralité de cœurs applicatifs (10), et étant configuré pour mettre en œuvre au moins une fonction de diagnostic de l’unité de commande électronique (2) lorsqu’il est exécuté par le processeur principal (4), et en ce que le coprocesseur de sécurité (20) est configuré en outre pour vérifier l’intégrité et authentifier le chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) et, si le chargeur d’amorçage (18) n’est pas authentifié, pour télécharger le code informatique de sauvetage (24) depuis la mémoire (22) de la boîte noire transactionnelle (8) vers les moyens mémoire (6), pour installer ledit code informatique de sauvetage (24) à la place d’une première séquence de lancement du chargeur d’amorçage (18) et pour faire exécuter, par le processeur principal (4), ledit code informatique de sauvetage (24) sur la pluralité de cœurs applicatifs (10). Unité de commande électronique (2) selon la revendication 1, caractérisé en ce que la mémoire (22) de la boîte noire transactionnelle (8) est une mémoire non volatile, de préférence une mémoire flash. Unité de commande électronique (2) selon la revendication 1 ou 2, caractérisé en ce qu’une image compressée du code informatique de sauvetage (24) est stockée dans la mémoire (22) de la boîte noire transactionnelle (8). Unité de commande électronique (2) selon l’une quelconque des revendications 1 à 3, caractérisé en ce que le code informatique de sauvetage (24) est stocké dans une portion applicative de la mémoire (22) de la boîte noire transactionnelle (8). Unité de commande électronique (2) selon l’une quelconque des revendications 1 à 4, caractérisé en ce que le coprocesseur de sécurité (20) est configuré en outre pour vérifier l’intégrité et authentifier le code informatique de sauvetage (24). Unité de commande électronique (2) selon l’une quelconque des revendications 1 à 5, caractérisé en ce que le coprocesseur de sécurité (20) est configuré en outre pour exécuter une instruction de réinitialisation de l’unité de commande électronique (2). Unité de commande électronique (2) selon l’une quelconque des revendications 1 à 6, caractérisé en ce que le code informatique de sauvetage (24) est configuré en outre, lorsqu’exécuté par le processeur principal (4), pour mettre en œuvre une fonction de téléversement du code applicatif (13) depuis les moyens mémoire (6) vers une mémoire d’un dispositif tiers relié à l’unité de commande électronique (2). Procédé de fonctionnement d’une unité de commande électronique (2) pour véhicule selon l’une quelconque des revendications 1 à 7, caractérisé en ce que le procédé comporte les étapes suivantes : vérification (32), par le coprocesseur de sécurité (20), de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) ; si la vérification (32) de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) est positive, authentification, par le coprocesseur de sécurité, du chargeur d’amorçage et : envoi (38), par le chargeur d’amorçage (18) à destination du coprocesseur de sécurité (20), d’une requête de vérification de l’intégrité et d’authentification du code applicatif (13) stocké dans les moyens mémoire (6) ; vérification de l’intégrité (40, 41, 44, 46) et authentification, par le coprocesseur de sécurité (20), du code applicatif (13) stocké dans les moyens mémoire (6) ; autorisation, par le coprocesseur de sécurité (20), de l’exécution dudit code applicatif (13) sur la pluralité de cœurs applicatifs (10) ; et exécution (42, 48) par le processeur principal (4), via le chargeur d’amorçage (18), dudit code applicatif (13) sur la pluralité de cœurs applicatifs (10) ; si la vérification (32) de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) est négative : téléchargement (36), par le coprocesseur de sécurité (20), du code informatique de sauvetage (24) depuis la mémoire (22) de la boîte noire transactionnelle (8) vers les moyens mémoire (6) ; installation (52), par le coprocesseur de sécurité (20), dudit code informatique de sauvetage (24) à la place d’une première séquence de lancement du chargeur d’amorçage (18) ; et exécution (56), par le processeur principal (4), dudit code informatique de sauvetage (24) sur la pluralité de cœurs applicatifs (10). Procédé selon la revendication 8, caractérisé en ce que, si la vérification (32) de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) est négative, le procédé comporte en outre une étape (50) de vérification de l’intégrité et d’authentification, par le coprocesseur de sécurité (20), du code informatique de sauvetage (24). Procédé selon la revendication 8 ou 9, caractérisé en ce que, si la vérification (32) de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) est négative, le procédé comporte en outre une étape (54) d’exécution, par le coprocesseur de sécurité (20), d’une instruction de réinitialisation de l’unité de commande électronique (2). Procédé selon l’une quelconque des revendications 8 à 10, caractérisé en ce que l’étape de vérification (32), par le coprocesseur de sécurité (20), de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) comporte une vérification de l’intégrité de la première séquence de lancement du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10), et une vérification de l’intégrité d’un module de chargeur d’amorçage flash au sein de la pluralité de cœurs applicatifs (10), la vérification (32) de l’intégrité du chargeur d’amorçage (18) au sein de la pluralité de cœurs applicatifs (10) étant positive si et seulement si les résultats desdites deux vérifications sont positifs. Produit programme d’ordinateur (24) caractérisé en ce qu’il comporte un ensemble d’instructions de code de programme qui, lorsqu’elles sont exécutées par un processeur (4), configurent le processeur pour mettre en œuvre une ou plusieurs étape(s) du procédé selon l’une quelconque des revendications 8 à 11, ledit produit programme d’ordinateur constituant le code informatique de sauvetage (24), ledit processeur étant le processeur principal (4).