Brevet FR2448192A1 — publié le 19800829

La présente invention se rapporte à un processeur pour la commande d'un dispositif en fonction de signaux de commande, De nombreux processeurs, en particulier des micro-processeurs, sont connus aujourd'hui pour la commande de pratiquement tous les récepteurs qui travaillent en fonction de signaux de commande, Dans un véhicule automobile par exemple, les processus d'allumage, d'injection et de changement de vitesse sont commandés par micro-processeur, le signal de commande le plus important étant un signal donnant la vitesse de rotation et un repère et produit par un dispositif tournant. On connaît de tels dispositifs, notamment par les brevets DE- 2 539 113 (correspond au brevet US-PS 4 099 495), Brevet DE- 2 850 534 et du Brevet DE- 2 851 336. De plus, des maohines-outils, ou même des appareils ménagers comme des machines à coudre ou des machines à laver sont commandées par micro-processeurs. En particulier pour les véhicules automobiles, la défaillance d'un processeur comporte des conséquences désagréables, lorsque cette défaillance se produit à un endroit d'où il est difficile de recouvrir à un autre moyen de circulation. Le conducteur doit abandonner son véhicule et aller chercher de l'aide. De même, sur les grandes machines-outils coûteuses, une défaillance présente la consé quence que la machine doit s'arrEter assez longtemps, avant l'intervention du service entretien.La perte de production qui lui est liée amène des désavantages financiers, La disposition selon l'invention est caractérisée en ce qu'au moins un second processeur est monté en circuit synchrone par rapport au premier, en ce que chaque processeur interroge un signal de contrôle provenant de l'autre processeur et produit par un ensemble de calcul, et, dans le cas où un tel signal ne se produit pas, le signal de commande de l'autre processeur est interrompu, au moins pour une certaine période, sous l'effet d'un dispositif de commutation. Ce dispositif présente l'avantage qu'en cas de défaillance d'un processeur, un autre processeur, mis en circuit en parallèle du premier, continue à exercer les fonctions neces- saires. En même temps, un signal de commande éventuel mais déjà produit en provenance du processeur défectueux est supprimé jusqu'à ce que le programme se déroule à nouveau parfaitement. Ceci présente l'avantage que, dans le cas d'un incident temporaire, le processeur qui subit cet incident temporaire n'est pas définitivement mis hors circuit, mais simplement pour la durée de l'incident. Du fait que les processeurs sont déjà aujourd'hui très bon marché, la mise en parallèle d'un deuxième processeur ne représente pas un coût financier très lourd, si on le compare avec les conséquences, du point de vue coût, d'une défaillance de l'ensemble du système. D'autres mesures conformes à l'invention concernent d'autres réalisetions avantageuses et améliorations de la disposition indiquée ci-dessus. L'afficahge d'un dispositif de contrôle, par exemple par éclairement d'une lampe-témoin, indique à l'exploitant de l'installation qu'un processeur est défaillant ou ne travaille plus comme il devrait. Sans ce dispositif de contrôle, l'exploitant ne le remarquerait pas, car le système restant remplit certainement les missions prévues. Si à chaque processeur correspond un tel dispositif de contrôle, l'exploitant peut aussitôt déterminer quel est le processeur défaillant et peut le remplacer sans devoir arreter l'installation. Si l'intervention du service d'entretien est nécessaire, la réparation peut s'effectuer au moment le plus favorable pour tous les participant s. D'autres variantes avantageuses des dispositions indiquées ci-dessus sont possibles grâce aux mesures suivantes - Production d'un signal 2'0" par le processeur intact qui a déterminé l'existence d'un défaut sur l'autre processeur. Grâce à ce signal #O# d'une part, le signal de sortie de commande du processeur défectueux est rendu inopérant par l'in termédiaire d'une diode et, d'autre part, ce signal 'ss0ll met en circuit le dispositif de contrôle. - Au moins un deuxième processeur est mis en circuit synchrone par rapport au premier ; chaque processeur interroge un signal de contrôle en provenance de l'autre processeur et produit sous l'effet du programme de calcul ; dans le cas où un tel signal n'apparaît pas, un dispositif de contrôle est mis en circuit. - Le signal produit pour supprimer les signaux de commandes sert en même temps de signal de commutation pour le dispositif de contr3le. - Le signal de controle produit sous l'effet du programme de calcul est produit à la fin de chaque programme de calcul régulier. L'invention sera mieux comprise à l'aide de la description ci-après et du dessin annexé représentant un-exemple de réalisation de l'invention9 pour le cas particulier de l'installation d'allumage d'un moteur à combustion interne0 Un dispositif émetteur 10 comporte une partie tournante 11, de préfére#nce liée au vilebrequin d'un moteur à combustion interne qui n'est pas. représenté plus en détail, et produisant, dans un capteur 12, des signaux de commande cycliques. Ces signaux de commande sont amenés à deux processeurs 13 et 14 qui peuvent par exemple avoir la forme d'un miero-processeur monoplaquette Les sorties de commande 15, 16 des deux processeurs 13, 14, sont relies, par l'intermédiaire respectivement d'un dispositif amplificateur 17, 18, et d'une diode 19, 20 en série avec lui, au récepteur 21 à commander et qui,dans le cas d'une installation d'allumage d'un moteur à combustion interne, est conçu comme étage final de l'allumage0 Les deux processeurs 13, 14, sont reliés ensemble par des conducteurs d!interrogation 22, 23. Une sortie d'instruction 24 est reliée, par l'intermédiaire d'un inverseur 25 et d'un autre inverseur 26 monté en série avec lui, à un dispositif indicateur 27 conçu sous forme de lampestémoin et dont la deuxième borne est à la masse. De la même façon, une sortie d'instruction du processeur 14 est reliée à la masse par l'intermédiaire de deux inverseurs 29, 30, et d'une lampe-témoin 31. La sortie de commande 15 est reliée, par ###########a#r#l'intermédiaire diode 32, au point de jonction situé entre les deux inverseurs 29, O. De la même façon la sortie de commande 16 est reliée, par l'intermédiaire d'une diode 33, au point de jonction situé entre les deux inverseurs 25, 26. Le mode de fonctionnement de cet exemple d'exécution est le suivant :Les deux micro-processeurs 13, 14 sont commandés en parallèle par le mssme signal de commande et laissent se dérouler leur programme de façon synchrone l'un par rapport à l'autre, Le récepteur 21 est commandé en commun par l'interne médiaire des amplificateurs 17 9 18, et des diodes 19, 20. A la fin du programme des deux processeurs 13, 14, il se produit, commandé par le programme, un signal de contrôle et une instruction d'interrogation0 Sous l'effet de l'instruction d'interrogation, chacun des deux processeurs 13, 14, interroge, par l'intermédiaire des-conducteurs 22, 23, le signal de contrôle de l'autre processeur. Si le, deux processeurs fonctionnement normalement, il se produit deux signaux de contrôle, puisque les programmes fonctionnent en synchronisme et donc se terminent en meme temps. Si, par exemple, il se produit une défaillance dans le processeur 14, le processeur 13, sous l'effet de son instruction d'interrogationp détermine à la fin du programme que le signal de contrôle (code cu impulsion individuelle) n'est pas apparu dans l'autre processeur 14, don que le programme n'y est pas encore termine0 il existe plusieurs possibilités pour expliquer le fait que ce signal de contrôle n'apparaisse pas : le processeur 14 est complètement défaillant et ne travaille absolument plus ; une boucle de programme est passée trop souvent par suite d'un incident, de sorte que le programme n'est pas encore terminé ; un incident momentané a fait que le programme n'a même pas démarré. Si donc le processeur 13 a connaissance que le signal de controle n'est pas apparu dans le processeur 14, il produit à sa sortie d'instruction 24 un signal t!1" qui a comme conséquence un signal 'e0' à la sortie de l'inverseur 25. Le signal o2 a deux fonctions. D'une part un signal de commande éventuellement susceptible d'apparattre à la sortie de commande 16 du processeur atteint d'une défaillance, mais non encore produit, est court-circuité par l'intermédiaire de la diode 33 et est donc rendu inopérant. On interdit ainsi que sous l'effet d'un signal de commande ultérieur ou défectueux des processus de commande imtempestifsne puissent être amenés dans le récepteur 21. D'autre part, ce signal "O" met en circuit, par l'intermédiaire de l'inverseur 26, la lampe-témoin 27 qui indique que le processeur 14 est défaillant.Si dans le cycle suivant ou dans un cycle ultérieur, les programmes des deux processeurs 13, 14, recommencent à se dérouler en synchronisme, la lampetémoin 27 est à nouveau mis hors circuit et la sortie de commande 16 est à nouvea libérée. Des incidents momentanés n'opèrent donc au plus qu'un scintillement de lampe-témoin 27. Mais si une lampe-témoins 27 brille en permanence, il faut échanger le processeur 14. Ces conditions sont naturellement valables, toutes chos#es égales, pour le cas inverse, ceestnàadire le cas où c'est le processeur 13 qui est défaillant. De plus, pour obtenir une sécurité encore plus grande, on peut très bien mettre en parallèle d'autres processeurs encore. On peut donc rendre aussi faible que l'on veut la probabilité de défaillance. A la place des diodes de commutation 32, 33, on peut naturellement prévoir d'autres dispositifs de commutation, qui rendent possible une suppression des signaux de commande C'est ainsi par exemple que les signaux d'instruction émis aux sorties d'instruction 24S 28, peuvent commander chacun un dispositif de commutation qui est transmis dans le conducteur de commande de l'autre système, par exemple dans un transistor de commutation. Dans ce cas les conducteurs de commande sont interrompus. REVENDICATIONS 1.- Processeur pour commander un dispositif en fonction de signaux de commande, caractérisé en ce qu'au moins un second processeur (14) est mis en circuit synchrone par rapport au premier (13), chaque processeur (13, 14) interrogeant un signal de contrôle provenant de l'autre processeur, produit sous l'effet du programme de calcul, le signal de commande de l'autre processeur étant interrompu, au moins pour une certaine période, sous l'effet d'un dispositif de commutation (32, 33) dans le cas où un tel signal de contrôle ne se produirait pas. 2.- Processeur selon la revendication 1, caractérisé en ce que le processeur (13 ou 14) qui a déterminé que le signal de contrôle de l'autre processeur (14 ou 13) n'apparat pas produit un signal qui est amené au dispositif de commutation, conçu sous forme de diode (33 ou 32), qui est relié à l'entrée de commande (16 ou 15) de l'autre processeur (14 ou 13)9 3.- Processeur selon la.revendication 2, caractérisé en ce que le signal conçu sous forme de signal "O" est produit à la sortie respective d'un inverseur (25, 29) lié au calculateur processeur (13s 14). 4.- Processeur selon la revendication 1, çaractérisé en ce que dans le cas où le signal n'apparat pas, un ars2s-o-;sftif de contrôle (27, 31) est mis en circuit. 5.- Processeur selon la revendication 4, caractérisé en de que le signal produit pour supprimer les signaux de commandes sert en même temps de signal de commutation pour le dispositif de contrôle (27, 31). 6. Processeur selon l'une quelconque des revendications 1 à 5, caractérisé en ce que le signal de contrôle produit sous l'effet du programme de calcul est produit à la fin de chaque programme de calcul régulier.