Brevet FR2527354A1 — publié le 19831125

La présente invention se rapporte généralement à un dispositif de surveillance pour un système de commande pourvu d'un microcalculateur et plus particulièrement à un dispositif de surveillance pouvant détecter un incident dans un microcalculateur prévu pour un système de commande et pouvant émettre un signal d'ordre de détection d'incident dans le cas d'un incident. Récemment, des microcalculateurs ont été largement utilisés dans divers domaines pour contrôler diverses opérations Le microcalculateur encapsulé dans une pastille (appelé microprocesseur) est usuellement pourvu d'une unité de microtraitement (MPU) pour exécuter divers calculs ou opérations selon des programmes de commande (logiciel), d'une mémoire à accès aléatoire (RAM) pour stocker temporairement diverses données, d'une mémoire morte (ROM) pour stocker les programmes de commande et de points d'entrée/sortie. Cependant, comme des incidents se produisent quelquefois même dans un microcalculateur, il est très important de surveiller le fonctionnement du microcalcula- teur en tout moment et d'informer l'utilisateur d'opérations anormales dans le cas d'un incident. En particulier, dans le cas d'un microcalculateur utilisé pour contrôler un système de freinage d'un véhicule automobile, par exemple, comme un mauvais fonctionnement ou une mauvaise opération du système de freinage dû à un incident au microcalculateur peut facilement avoir pour résultat une situation très dangereuse, il est indispensable de prévoir un système approprié de surveillance pour un système de commande d'un véhicule pourvu d'un micro- calculateur. Les incidents d'un microcalculateur peuvent être divisés grossièrement en deux groupes, c'est-à-dire les incidents du logiciel et les incidents du matériel Les causes d'incident du logiciel comprennent par exemple, une destruction de la donnée d'entrée du fait d'un mélange du bruit externe et un arrêt temporaire conséquent de l'exécution du programme ou la formation temporaire d'une boucle anormale du programme sans exécuter la commande normale du programme Par ailleurs, les causes d'incident matériel comprennent, par exemple, un arrêt d'un oscillateur d'impulsions d'horloge avec pour résultat que toutes les opérations du mi crocalculateur s'arrêtent complètement. Une méthode de surveillance d'un microcalculateur est connue qui comprend les étapes de: ( 1) émettre un signal impulsionnel d'exécution de programme à une période prédéterminée (ci-après simplement appelé signal PR) par un microcalculateur à chaque fois que la gestion de l'exécution est exécutée normalement; ( 2) appliquer ce signal PR à un circuit temporisateur pour surveiller la période du signal PR; ( 3) émettre un signal *de rétablisse- ment du circuit temporisateur au microcalculateur quand la période du signal PR dépasse un intervalle prédéterminé de temps, indiquant ainsi une gestion anormale afin de recommencer obligatoirement la gestion de l'exécution à partir de l'étape de départ Dans cette méthode, le signal PR est périodiquement inversé en réponse à un signal de commande émis selon un programme de surveillance incorporé à l'étape finale du programme de contrôle ou de gestion. Dans la méthode de surveillance ci-dessus mentionnée, un incident temporaire du microcalculateur dû, par exemple, à un mélange du bruit externe, peut être corrigé en toute fiabilité Cependant, dans le cas o un incident du calculateur dû par exemple, à un matériel défectueux se produit, même si le microcalculateur est rétabli de façon répétée, le microcalculateur ne peut fonctionner normalement. Comme on l'a déjà décrit ci-dessus, dans le cas o un microcalculateur est prévu pour un système de commande ou de contrôle pouvant avoir pour résultat une situation dangereuse dans le cas d'un incident, il est assez important d'informer l'utilisateur de l'incident du microcalculateur et de plus d'accomplir une opérationen sécurité intégrée ou d'inhiber le système de contrôle si cela est nécessaire. Une description plus détaillée d'un dispositif de surveillance selon l'art antérieur pour un système de contrôle pourvu d'un microcalculateur sera faite ci-après en se référant aux dessins joints. En tenant compte de ces problèmes, la présente invention a pour objet principal un dispositif de sur- veillance pour un système de commande pourvu d'un micro- calculateur pouvant émettre un signal d'ordre de détection d'incident afin de produire une alarme et/ou d'inhiber le système de commande, si le signal impulsionnel d'exécu- tion de programme arrête d'osciller pendant plus longtemps qfu'un intervalle prédéterminé de temps malgré le fait que le microcalculateur a été rétabli seulement une fois ou de façon répétée. Ces objets et d'autres de l'invention sont obtenus selon la présente invention en prévoyant un dispositif de surveillance pour un système de commande o est incorporé un microcalculateur comprenant: un premier temporisateur répondant au microcalculateur pour lui appliquer un signal de rétablissement ou de remise à l'état initial quand le signal PR arrête d'osciller pendant plus longtemps qu'un premier intervalle de temps T 1 déterminé par le premier temporisateur, et un second temporisateur répondant également au microcalculateur pour émettre un signal d'ordre de détection d'incident quand le signal impulsion- nel d'exécution de programme arrête d'osciller pendant plus longtemps qu'un second intervalle de temps T 2 déterminé par le second temporisateur, le second intervalle de temps étant plus long que le premier intervalle de temps (T 2 > T 1) En réponse au signal d'ordre de détection d'incident ci-dessus mentionné, une lampe d'alarme et/ou un moyen inhibant le système de commande sont activés. Par ailleurs, en prévoyant de plus un oscillateur et unr troisième temporisateur, il est possible de remettre le microcalculateur à l'état initial de façon répétée Z 527354 avant que le signal d'ordre de détection d'incident ci- dessus mentionné ne soit émis par le dispositif de surveillance selon l'invention. L'invention sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparaltront plus clairement au cours de la description explicative qui va suivre faite en référence aux dessins schématiques annexés donnés uniquement à titre d'exemple illustrant plusieurs modes de réalisation de l'invention et dans lesquels: la figure 1 donne un schémabloc d'un exemple d'un dispositif de surveillance selon l'art antérieur pour un microcalculateur; la figure 2 est un schéma des temps aidant à expliquer le fonctionnement du dispositif de surveillance selon l'art antérieur pour un microcalculateur, que l'on peut voir sur la figure 1; la figure 3 est une vue selon l'art antérieur d'un organigramme comprenant un programme de surveillance par microcalculateur stocké dans un microcalculateur pour produire un signal impulsionnel d'exécution de programme (signal PR); la figure 4 donne un schéma-bloc d'un premier mode de réalisation d'un dispositif de surveillance pour un système de commande pourvu d'un microcalculateur selon la présente invention; la figure 5 est un schéma des temps pour aider à expliquer le fonctionnement du premier mode de réalisation du dispositif de surveillance pour un système de commande pourvu d'un microcalculateur selon la présente invention, que l'on peut voir sur la figure 4; la figure 6 donne un schéma-bloc d'un exemple d'un circuit générateur d'alarme et d'un circuit d'inhibi- tion du système de commande que l'on utilise pour un système de contrôle antidérapage pour un véhicule automobile, qui est activé en réponse à un signal d'incident émis par le dispositif de surveillance selon la présente invention que l'on peut voir sur la figure 4; la figure 7 donne un schéma-bloc d'un second mode de réalisation d'un dispositif de surveillance pour un système de commande pourvu d'un microcalculateur selon la présente invention, o le microcalculateur est remis de façon répétée à l'état initial avant émission du signal d'ordre de détection d'incident; et la figure 8 est un schéma des temps pour aider à expliquer le fonctionnement du second mode de réalisation du dispositif de surveillance pour un système de commande pourvu d'un microcalculateur selon la présente invention, que l'on peut voir sur la figure 7. Pour faciliter la compréhension de la présente invention, on se référera d'abord rapidement à un dispositif de surveillance selon l'art antérieur pour un micro- calculateur ou microprocesseur. En se référant à la figure 1, le chiffre de référence 1 désigne un microcalculateur ou microprocesseur encapsulé dans une pastille comprenant une unité de microtraitement, une mémoire à accès aléatoire, une mémoire morte et des points d'entrée/sortie Le chiffre de référence 2 désigne un circuit temporisateur formé d'un multivibrateur monostable redéclenchable. Sur la figure 1, la marque PR désigne un signal impulsionnel d'exécution de programme (signal PR), dont le niveau de tension est périodiquement inversé à une période de To, comme le montre la figure 2, tant que les programmes de commande stockés dans le microprocesseur 1 sont exécutés normalement un à un Cependant, dans le cas o la donnée appliquée au microprocesseur 1 est détruite du fait d'un mélange du bruit extérieur et que par conséquent l'exécution du programme est interrompue ou bien qu'il se forme une boucle anormale d'exécution du programme, ce signal PR est maintenu à un niveau de ten- sion L, par exemple De ce point de vue, le niveau de tension du signal PR s'inverse périodiquement en réponse à un signal de commande émis selon un programme de surveillance Ce programme de surveillance est usuellement incorporé à la fin des étapes de traitement d'une gestion d'exécution, comme cela est représenté sur la figure 3, à titre d'exemple. Le circuit temporisateur 2 est un multivibrateur monostable redéclenchable Comme on le sait bien, un multivibrateur monostable est un circuit comme suit l'une de ses deux bornes de sortie est maintenue à un niveau bas de tension ou L, par exemple, et l'autre des deux bornes de sortie est maintenue à un niveau haut de tension ou H; lorsqu'une borne d'entrée est déclenchée, le niveau de tension de chaque borne de sortie est inversé pendant un intervalle prédéterminé de temps qui est dé- terminé selon une constante de temps obtenue par une paire d'un condensateur et d'une résistance, puis est ramené à l'état d'origine Comme on le sait bien, un multivibrateur monostable redéclenchable est un circuit comme suit: tant que se borne d'entrée est déclenchée périodiquement pendant un intervalle prédéterminé de temps déterminé par la constante de temps, l'une de ses deux bornes de sortie est maintenue à un niveau de tension H ou haut par exemple, et l'autre des deux bornes de sortie est maintenu à un niveau de tension bas ou L; lorsque sa borne d'entrée n'est pas déclenchée pendant l'intervalle prédéterminé de temps, le niveau de tension de chaque borne de sortie est inversé, retournant à l'état d'origine (l'un: niveau L ou bas; l'autre: niveau H ou haut). Le fonctionnement du dispositif de surveillance selon l'art antérieur sera maintenant décrit en se référant à la figure 2 Quand des programmes de gestion sont exécutés normalement, comme le signal PR est inversé périodiquement à une période T, son flanc menant déclenche périodiquement le circuit temporisateur 2, donc la borne de sortie du circuit temporisateur 2 est maintenue à un niveau de tension H sans remise à l'état initial du microprocesseur 1 Contrairement à cela, dans le cas o un bruit externe, par exemple, est appliqué au micro- processeur 1 et que par conséquent la donnée d'entrée est détruite, comme la gestion de l'exécution est inter- rompue ou bien qu'une boucle d'exécution anormale du programme se forme sans exécuter normalement la gestion, le programme de surveillance n'est pas exécuté donc aucun signal d'ordre n'est émis pour inverser le signal PR. Par conséquent, quand la période de ce signal PR dépasse un intervalle de temps de seuil prédéterminé Tth, le circuit temporisateur monostable redéclenchable 2 est ramené à son état d'origine, changeant sa borne de sortie à un niveau de tension L afin de remettre le micro- processeur 1 à l'état initial Quand il est remis à l'état initial, le microprocesseur commence à exécuter de nouveau le programme de commande en commençant du début, empêchant ainsi une opération temporaire erronée dans le micro- processeur 1. Le dispositif de surveillance selon l'art antérieur ci-dessus mentionné peut empêcher, en toute fiabilité, un mauvais fonctionnement du microprocesseur du fait d'un incident du logiciel; cependant, dans le cas de certains incidents du matériel (par exemple si le générateur d'impulsions d'horloge ne fonctionne pas), le micro- processeur 1 n'est jamais ramené à sa condition normale, mais s'arrête totalement, même s'il est remis de façon répétée à l'état initial. Etant donné la description qui précède, on se référera maintenant à des modes de réalisation préférés du dispositif de surveillance pour un système de commande comprenant un microcalculateur selon la présente invention. Par ailleurs, un système de commande antidérapage pour un véhicule automobile est décrit comme exemple d'un système important de commande ou de contrôle comprenant un microcalculateur. Le système de contrôle antidérapage sert à empêcher un véhicule automobile de glisser latéralement sur la route, les roues étant bloquées pendant que le véhicule avance En cas d'urgence, quand les freins sont fortement appliqués à un véhicule automobile et qu'ainsi les roues arrière sont bloquées, le véhicule a tendance à déraper Le dérapage peut être empêche en réduisant la pression hydraulique du fluide de freinage immédiatement avant que les roues ne soient bloquées Cependant, si la pression hydraulique reste réduite, aucune force de freinage n'est appliquée au véhicule même si la pédale du frein est totalement enfoncée Le système de contrôle antidérapage peut contrôler la pression hydraulique du fluide des freins afin d'obtenir une fonction appropriée de freinage sans que le véhicule ne dérape latéralement en augmentant ou en réduisant de façon répétée la pression hydraulique selon la vitesse de rotation des roues du véhicule. Dans un tel système de contrôle antidérapage ci-dessus décrit cependant, quand un incident se produit dans le microcalculateur, il est impossible de contrôler- la pression hydraulique afin d'obtenir une edficacité maximale de freinage même si divers signaux d'ordre obtenus selon le degré d'enfoncement de la pédale du frein sont appliqués au microcalculateur En particulier, si un signal d'ordre pour réduire la pression hydraulique de freinage continue à être émis par le microcalculateur du fait d'un incident au microcalculateur, il y a danger que la distance de freinage puisse augmenter. La figure 4 donne un schéma-bloc d'un premier mode de réalisation selon la présente invention Un microprocesseur 1 est pourvu d'un programme pour commander par exemple, un système de contrôle antidérapage Le microprocesseur 1 émet un signal impulsionnel d'exécution de programme (signal PR) qui oscille à une période de To à la borne de sortie tant que le programme est normalement exécuté Ce microprocesseur 1 peut étreremis à l'état initial quand un signal à un niveau de tension L est appliqué à sa borne de remise à l'état initial (R) Quand il est remis à l'état initial, le microprocesseur 1 2527354,i recommence à exécuter le programme de contrôle à partir du début Pour le microprocesseur 1, il est possible d'utiliser un appareil HITACHI modèle MP HD 6801, par exemple. Un premier temporisateur 2 est prévu qui comprend un multivibrateur monostable redéclenchable Le signal PR est appliqué à la borne d'entrée A du temporisateur 2. Une paire d'une résistance R 1 et d'un condensateur C 1 est extérieurement connectée aux deux bornes t 1 et t 2 du premier temporisateur 2 pour déterminer un premier intervalle de temps d'inversion fixe T 1 Par conséquent, en se référant à la figure 5, quand le signal PR atteint le niveau de tension H pendant la première période de temps d'inversion T 1, le premier temporisateur 2 est déclenché de façon répétée pour établir le temporisateur, c'est-à-dire matbtircantinue Ilement sa sortie Q à un niveau de tension H. Cependant, quand le signal PR est laissé à un niveau de tension H ou L pendant plus longtemps que le premier intervalle de temps d'inversion fixe T 1, le premier temporisateur 2 émet un signal à un niveau de tension L à la borne Q pour remettre le microprocesseur 1 à l'état initial Avantageusement, ces temporisateurs à multi- vibrateur monostable redéçlenchable 2 sont bien connus. Par exemple il est possible d'utiliser un appareil HITACHI modèle HD 14538 B La marque CD dans le temporisateur 2 désigne une borne à laquelle est reliée une source d'alimentation en courant. En plus du premier temporisateur 2, un second temporisateur 4 et une bascule ou flip-flop R-S 6 sont incorporés dans le premier mode de réalisation selon l'invention Le second temporisateur 4 est également un multivibrateur monostable redéclenchable, comme le premier temporisateur 2 Le temporisateur 4 sert de moyen généra- teur de signaux d'ordre de détection d'incident Le signal PR est de même appliqué à la borne d'entrée A du second temporisateur 4 Une autre résistance R 2 et un autre condensateur C 2 sont extérieurement connectés aux 2527354 * deux bornes t 1 et t 2 du temporisateur 4 pour déterminer un second intervalle de temps d'inversion fixe T 2 qui est plus long que T 1 d'au moins un intervalle de temps AT correspondant à l'intervalle entre le temps o le microprocesseur 1 est remis à l'état initial et le temps o le signal PR recommence à osciller Comme pour le premier temporisateur 2, quand le signal PR atteint un niveau de tension H pendant le second intervalle de temps d'inversion T 2, le second temporisateur 4 est déclenché de façon répétée pour l'établir, c'est-à-dire maintenir sa sortie Q continuellement à un niveau de tension Hi. Cependant, quand le signal PR est laissé à un niveau de tension H ou L pendant plus longtemps que le second intervalle de temps d'inversion T 2, le second temporisa- teur 4 émet un signal à un niveau de tension L à sa borne Q en tant que signal d'ordre de détection d'incident. La bascule R-S 6 est un multivibrateur bistable qui sert de moyen émettant un signal d'incident, dont la borne de sortie Q est établie à un niveau de tension H quand le signal appliqué à sa borne d'établissement d'inversion S baisse à un niveau de tension L, et est rétablie à un niveau de tension L quand le signal appliqué à sa borne de rétablissement d'inversion R baisse à un niveau de tension L Il est préférable de rétablir cette bascule 6 à chaque fois que le système de contrôle ou de commande comprenant un microcalculateur est activé ou à chaque fois qu'une tension d'alimentation en courant est appliquée au système de contrôle ou de commande Il est également possible de rétablir cette bascule 6 à chaque fois qu'un commutateur d'allumage est mis en circuit dans le cas d'un système de commande utilisé pour un véhicule automobile. Le fonctionnement du mode de réalisation de la figure 4 sera maintenant décrit en se référant au schéma des temps de la figure 5. Si le microprocesseur 1 exécute normalement les programmes de gestion, comme le signal PR oscille à une 2527354. période T O presque constante et que cette période T est plus courte que le premier intervalle de temps d'inversion T 1, le premier temporisateur 2 est déclenché de façon répétée pour maintenir sa borne Q à un niveau de tension H sans remettre le microprocesseur 1 à son état initial. Dans ce cas, comme la période To est bien entendu plus courte que le second intervalle de temps d'inversion T 2, le second temporisateur 4 est également déclenché de façon répétée pour maintenir sa borne Q à un niveau de tension H (aucun signal d'ordre de détection d'incident), sans établir la bascule 6 Par conséquent, la bascule 6 est maintenue rétablie pour maintenir sa sortie Q à un niveau de tension L, sans émettre de signal d'incident à un niveau de tension H. Si un incident temporaire du logiciel se produit dans le microprocesseur 1, comme le signal PR arrête d'osciller pendant un temps qui dépasse le premier intervalle de temps d'inversion T 1, le premier temporisa- teur 2 est inversé pour changer sa borne Q à un niveau de tension L pour remettre le microprocesseur 1 à son état initial Par conséquent, le programme est ramené à l'étape de départ pour exécuter de nouveau la gestion de l'exécution Quand la gestion de l'exécution est alors exécutée normalement, comme le signal PR commence norma- lement à osciller à une période de T O, le premier temporisateur 2 est de nouveau déclenché de façon répétée pour maintenir sa borne à un niveau de tension H sans plus amplement remettre le microprocesseur 1 à son état initial Dans ce cas, la bascule 6 est également maintenue rétablie pour maintenir sa sortie Q à un niveau de tension L en réponse au signal au niveau de tension H au second temporisateur 4, sans émettre un signal d'incident à un niveau de tension H. Si un incident du matériel se produit dans le microcalculateur 1 et que son fonctionnement s'arrête totalement, comme le signal PR arrête d'osciller, le premier temporisateur 2 est inversé pour changer sa 2527354 I borne Q à un niveau de tension L pour remettre le microprocesseur 1 à son état initial Cependant, comme le microprocesseur 1 n'est pas ramené à un condition normale et donc qu'aucun signal PR n'est émis, un temps d'arrêt des oscillations s'écoule qui dépasse le second intervalle de temps d'inversion T 2 préétabli dans le second temporisateur 4 Par conséquent, le second tempori- sateur 4 est également rétabli pour émettre un signal à un niveau de tension L à sa borne Qaappliqué à la borne d'établissement d'inversion S de la bascule 6 Par suite, la borne de sortie Q de la bascule 6 est établie pour émettre un signal d'incident à un niveau de tension H. Ce signal d'incident (niveau de tension H) est utilisé pour éclairer une lampe d'alarme ou pour déconnecter ou inhiber le système de commande (pour accomplir un fonctionnement à sécurité intégrée) comme on le décrira ci-après. La figure 6 donne un schéma-bloc d'un exemple d'alarme et d'un circuit d'inhibition du système de commande activés en réponse au signal d'incident de la bascule 6 Sur la figure 6, le chiffre de référence 8 désigne une lampe d'alarme; le chiffre de référence 10 désigne un moyen de mise en action utilisé pour un système de contrôle antidérapage; le chiffre de référence 12 désigne un relais électromagnétique et le chiffre de référence 14 désigne une batterie. Le moyen de mise en action 10 du système de contrôle antidérapage comprend un certain nombre de transistors Tr 2, Tr 3 et Tr 4 qui sont mis etcircuit et hors circuit en réponse à un certain nombre de signaux de commande de pression hydraulique émis par un système de contrôle antidérapage d'un type connu (non représenté), et un certain nombre de solénoïdes électromagnétiques 10 a, b et 10 c, chacun étant connecté au collecteur de l'un des transistors Tr 2, Tr 3 ou Tr 4, respectivement, pour augmenter ou diminuer la pression hydraulique du système de freinage du véhicule automobile quand-chacun des transistors correspondants est mis en circuit ou hors circuit. La borne de sortie Q de la bascule 6 est connectée à la base d'un transistor Tr 1 par une résistance R et la lampe d'alarme 8 est connectée au collecteur du transistor Tr 1 Par ailleurs, la borne de sortie d'inversion 5 de la bascule 6 est connectée à la base d'un transistor Tr 5 par une résistance R, et le relais électromagnétique d'inhibition du système 12 est connecté au collecteur du transistor Tr 5 Par ailleurs, un contact de relais 12 a du relais électromagnétique 12 est connecté à mi-chemin entre le moyen de mise en action 10 et la batterie 14 Par conséquent, quand le transistor Tr 5 est miis en circuit, le relais 12-est excité pour fermer le contact 12 a, donc le moyen de mise en action 10 est activé; cependant, quand Tr 5 est hors circuit, le moyen de mise en action 10 est inhibé, parce que la batterie 14 est coupée du moyen de mise en action 10. Le fonctionnement de l'alarme et du circuit d'inhibition du système de contrôle de la figure 6 sera maintenant décrit Si le dispositif de surveillance montré sur la figure 5 émet un signal d'incident à un niveau de tension H à la borne de sortie Q de la bascule 6, le transistor Tr 1 est mis en circuit pour allumer la lampe d'alarme 8 indiquant qu'il y a un incident dans le système de contrôle comprenant le microprocesseur 1. De plus, comme un autre signal d'incident à un niveau de tension L est émis par la borne de sortie d'inversion Q de la bascule 6, le transistor Tr 5 est mis hors circuit pour désexciter le relais 12 d'inhibition du système, donc le contact de relais 12 a s'ouvre Par conséquent, la source d'alimentation en courant est coupée du moyen de mise en action 10 pour inhiber celui-cic'est-à-dire, les solénoïdes électromagnétiques 10 a, 10 b et 10 c Par suite, le système de contrôle antidérapage est déconnecté et le système de freinage est automatiquement ramené à un fonctionnement normal. Comme on l'a décrit ci-dessus, dans le dispositif de surveillance d'un système de contrôle comprenant un microprocesseur selon l'invention, dans le cas o un incident se produit dans le microprocesseur, comme la présence de l'incident est indiquée au conducteur par une lampe d'alarme et de plus comme le moyen de mise en action du système de contrôle antidérapage est inhibé pour ramener le système de freinage à un fonctionnement ordinaire du frein (on obtient un fonctiornnement à sécurité intégrée), il est possible de conduire le véhicule en toute sécurité sans augmenter de façon dangereuse la distance de freinage. La figure 7 donne un schéma-bloc d'un second mode de réalisation du dispositif de surveillance pour un système de contrôle ayant un microcalculateur selon l'invention Dans ce mode de réalisation, un oscillateur 20, un troisième temporisateur 22 et deux portes NON-OU sont incorporés entre la borne de sortie Q 2 B du premier temporisateur 2 et la borne de remise à l'état initial du microprocesseur 1, en plus des caractéristiques du premier mode de réalisation de la figure 4. L'oscillateur 20 sert à remettre le microprocesseurs de façon répétée à son état initial s'il s'arrête de produire le signal PR Le troisième temporisateur 22 sert à remettre le microprocesseur 1 à son état initial, initialement une fois seulement lorsque la source d'alimen- tation en courant est mise en circuit Par ailleurs, de la même façon que dans le premier mode de réalisation, le second temporisateur 4 émet un signal d'ordre de détection d'incident si le microprocesseur ne produitpas normalement le signal PR après avoir été remis de façon répétée à son état initial. Pour le microprocesseur 1, il est possible d'utiliser l'appareil HITACHI modèle MP HD 6801, par exemple Pour les premier et second temporisateurs 2 et 4, il est possible d'utiliser des multivibrateurs monostables redéclenchables HITACHI modèle HD 14538 B. Le fonctionnement du microprocesseur 1 et des deux temporisateurs 2 et 4 a déjà été expliqué dans la descrip- tion du premier mode de réalisation et ne sera donc pas répété. L'oscillateur 20 comprend un amplificateur opéra- tionnel A 1 qui sert de comparateur L'amplificateur opérationnel A 1 émet un signal à un niveau de tension H lorsqu'un niveau de tension de seuil VTH 1 appliqué à une borne d'entrée (+) est supérieur à un niveau de tension VC 3 appliqué à l'autre borne d'entrée (-) et un signal à un niveau de tension L lorsque la valeur de VTH 1 est égale ou inférieure à VC 3 Le niveau de tension de seuil VTH 1 est déterminé par deux résistances R 5 et R 6 Le niveau dé tension VC 3 change selon la constante de temps déterminée sensiblement par C 3 et R 3 (parce que R 4 conséquent, en se référant à la figure 8, quand l'alimenta- tion en courant est mise en circuit, le niveau de tension de seuil VTH 1 augmente immédiatement à un niveau de tension égal à 5 V(R 6/R 5 +R 6) Cependant, le niveau de tension VC 3 augmente graduellement selon une courbe constante du temporisateur correspondant à l'expression T 3 =C 3 R 20 ms (la valeur de T 3 est à peu près égale à 20 ms) Par suite, l'amplificateur opérationnel A 1 émet un signal à un niveau de tension H(VOUT 1) à partir du temps o l'alimentation en courant est mise en circuit jusqu'à ce que le niveau de tension VC 3 atteigne le niveau de seuil VTH 1 et un signal à un niveau de tension L ensuite Quand l'ampli- ficateur opérationnel A 1 émet un signal à un niveau de tension L, le niveau de tension dans le condensateur C 3 se décharge selon presque la même courbe de constante de temps (T 3)Z, C 3 R 3) (la valeur de T 3 est à peu près égale à C 3 R 3) Lorsque ce niveau atteint le second 3 *) niveau de tension de seuil VTH 1,, comme la valeur de VTH 1 est supérieure à JVTH 1,, l'amplificateur opérationnel A 1 émet de nouveau un signal à un niveau de tension H(Vou T 1). La différence de niveau de tension entre VTHI et VT"Ht est une tension d'hystérésis de l'amplificateur f 1354 opérationnel A 1 Comme on l'a décrit ci-dessus, l'oscil- lateur 20 émet un signal impulsionnel d'une période d'environ 20 ms qui est déterminée par la constante de temps (T 3 C 3 R 3) Par ailleurs, une résistance R 4 est prévue pour déterminer le niveau de tension du signal de sortie (VOUT 1) de l'amplificateur opérationnel A 1 Une résistance R 7 est prévue pour déterminer le taux de réaction. Le troisième temporisateur 22 comprend également un amplificateur opérationnel A 2 qui sert de comparateur. L'amplificateur opérationnel A 2 émet un signal à un niveau de tension H lorsqu'un niveau de tension VTH 2 appliqué à une borne d'entrée (+) est supérieur à la tension VC 4 appliquée à l'autre borne d'entrée (-) et un signal à un niveau de tension L lorsque la valeur de VTH 2 est égale ou plus faible-que Vc 4 Le niveau de seuil V est déterminé par deux résistances R 9 et Rio, Le niveau de tension VC 4 est déterminé selon une constante de temps T 4 déterminée sensiblement par C 4 et R qui est plus courte que celle obtenue par T 3 Par conséquent, en se référant à la figure 8, quand la source d'alimenta- tion en courant est mise en circuit, le niveau de seuil VTH 2 augmente immédiatement à un niveau de tension égal à 5 V(R 1, J+R 10) Cependant, le niveau de tension VC 4 augmente graduellement selon une courbe de constante de temps correspondant à l'expression T J C 4 R 8 Par suite, l'amplificateur opérationnel A 2 émet un-signal à un niveau de tension H (V O UT 2) à partir du moment o la source d'alimentation en courant est mise en circuit jusqu'à ce que le niveau de tension VC 4 atteigne le niveau de seuil VTH 2 pour initialement remettre le micro- processeur 1 à son état initial et un signal à un niveau de tension L ensuite Quand l'amplificateur opérationnel A 2 émet un signal à un niveau de tension L, comme il n'existe pas de voie de décharge pour le condensateur C 3 Y l'ampli- ficateur opérationnel A 2 continue à émettre un signal à un niveau de tension L Comme on l'a décrit ci-dessus, le troisième temporisateur 22 émet un signal à un niveau de tension L (VOUT 2) pour remettre initialement le microprocesseur 1 à son état initial Quand la source d'alimentation en courant est arrêtée, la charge électrique au condensateur C 4 se décharge dans une résistance appro- priée (non représentée) connectée à la masse Une résis- tance R 12 est prévue pour déterminer le niveau de tension du signal de sortie (VOUT 2) de l'amplificateur opérationnel A 2 Une résistance R est prévue pour déterminer le taux de réaction. Les première et seconde portes NON-OU émettent chacune un signal à un niveau de tension L lorsque l'un des deux signaux d'entrée est à un niveau de tension H et un signal à un niveau de tension H lorsque les deux signaux d'entrée sont à un niveau de tension L Pour ces portes NON- OU, il est possible d'utiliser des portes HITACHI modèle HD 14001 B, par exemple. Le fonctionnement du second mode de réalisation selon l'invention sera maintenant décrit en se référant aux figures 7 et 8 Quand la source d'alimentation en courant est mise en circuit, comme le niveau de la tension de seuil VTH 2 du second amplificateur opérationnel A 2 est supérieur au niveau de tension V,4, l'amplificateur A 2 émet un signal au niveau de tension H (VOUT 2 =H) A ce moment, comme le microprocesseur 1 n'émet pas le signal PR (PR=L), le premier temporisateur 2 est maintenu rétabli et par conséquent il émet un signal à un niveau de tension L (Q 2 B=L) De même, comme le niveau de tension de seuil VTH 1 du premier amplificateur opérationnel A 1 est supérieur au niveau de tension VC 3, l'amplificateur A 1 émet un signal à un niveau de tension H (VOUT 1 =H) Comme on a Q 2 B=L et VOUT 1 =H, la première porte NON-OU émet un signal à un niveau de tension L (VOUT 3 =L) Par suite, comme VOUT 3 =L et VOUT 2 =H, la seconde porte NON-OU émet un signal à un niveau de tension L pour initialement remettre le microprocesseur 1 à son état inihial Par conséquent, comme le microprocesseur 1 commence à émettre le signal PR, bien que son flanc menant déclenche le premier temporisa- teur 2 pour changer la sortie à un niveau de tension H (Q 2 B=H), la première porte NON-OU reste à un niveau de tension L (Vo UT 3 =L) parce que l'on a VOUTI=H Ensuite, comme la tension VC 4 atteint le second niveau de tension de seuil VTH 2, le second amplificateur opérationnel A 2 émet un signal à un niveau de tension L (Vo UT 2 =L). Comme on a VOUT 3 =L et VOUT 2 = L, la seconde porte NON-OU émet un signal à un niveau de tension H pour libérer la remise à l'état initial du microprocesseur 1, donc le microprocesseur 1 commence à fonctionner. Quand le microprocesseur 1 fonctionne normalement, comme le signal PR à une période constante To est appliqué aux premier et second temporisateurs 2 et 4 (multi- vibrateurs monostables redéclenchables), chaque temporisa- teur est déclenché de façon répétée, émettant un signal à un niveau de tension H aux deux bornes de sortie Q 1 B et Q 2 B Par conséquent, comme on a Q 2 B= H, la première porte NON-OU émet un signal à un niveau de tension L (VOUT 3 =L), quel que soit le niveau de tension VOUT 1. Comme on a VOUT 3 =L et VOUT 2 =L, la seconde porte NON-OU émet un signal à un niveau de tension H (VOUT=H), sans remettre le microprocesseur I à son état initial Ensuite, comme le niveau de tension VC 3 atteint le premier niveau de seuil VTH 1, le premier amplificateur opérationnel A 1 commence à osciller comme on l'a décrit précédemment, émettant un signal impulsionnel d'une période grossièrement déterminée par l'expression T'l C 3 R 3. 3 3 * 3 * Si un incident temporaire se produit dans le microprocesseur 1 et que le signal PR arrête d'osciller, la sortie du second temporisateur Q 2 B baisse à un niveau de tension L au temps (T 1 e C 1 R 1) après arrêt du signal PR. Comme on a Q 2 B=L et que VOUT 1 oscille, la première porte NON-OU émet un signal à un niveau de tension H (Vou T 3) uniquement quand l'on a VOUTI à un niveau de tension L. Par suite, quand on a VOUT 3 =L et que VOUT 2 est H, la seconde porte NON-OU émet un signal à un niveau de tension L pour remettre le microprocesseur 1 à son état initial. Le microprocesseur 1 est ramené à l'étape de départ et s'il commence à exécuter normalement la gestion de l'exécution, le signal PR est de nouveau émis pour changer les deux signaux de sortie Q 1 B et Q 2 B de nouveau à un niveau de tension H. Contrairement au premier mode de réalisation montré sur la figure 4, dans ce second mode de réalisation, le microprocesseur 1 est remis de façon répétée à son état initial jusqu'à ce qu'il soit ramené à son fonctionnement normal, donc même si l'opération de remise à l'état initial manque d'abord du fait du mélange d'un bruit externe ou bien de fluctuations de la source d'alimentation en courant, il est possible de remettre de façon plus fiable le microprocesseur à son état initial pour restaurer une opération normale de gestion de l'exécution. Si le microprocesseur 1 s'arrête totalement du fait d'un incident de matériel, le microprocesseur 1 ne retourne pas à l'opération de gestion normale de l'exécution même s'il est remis rapidement à son état initial Par conséquent, le signal PR reste arrêté Si le signal PR s'arrête pendant plus longtemps que le temps T 2 '2 C 2 R 2, le second temporisateur 4 applique un signal à un niveau de tension L (signal d'ordre de détection d'incident) à la bascule 6 (que l'on peut voir sur la figure 4) pour éclairer la lampe d'alarme 8 et/ou désexciter le solénoïde électromagnétique 12 pour déconnecter ou inhiber le moyen de mise en action 10 du système de contrôle. Comme on l'a décrit ci-dessus, dans ce second mode dé réalisation, uniquement lorsque le microprocesseur 1 n'est pas ramené à un fonctionnement normal malgré le fait que le mircoprocesseur 1 est remis de façon répétée à son état initial, le dispositif de surveillance émet le signal d'ordre de détermination d'incidentpiréclaiberunelinped'a Jrme et/ou inhiber un système de contrôle antidérapage pour permettre un fonctionnement à sécurité intégrée du système contrôlé. 2527354 * Bien que la description qui précède se rapporte au cas o un système de contrôle antidérapage pour un véhicule automobile est surveillé par le dispositif selon la présente invention, il est également possible d'appliquer le dispositif de surveillance selon l'invention à tout système de contrôle comprenant un microcalculateur ou un microprocesseur. Comme on l'a décrit ci-dessus, dans le second mode de réalisation selon l'invention, comme le microprocesseur peut être remis de façon répétée à son état initial, uniquement quand le signal impulsionnel d'exécution de programme émis en réponse à l'exécution de la gestion normale de programme arrête d'osciller pendant plus longtemps qu'une première période prédéterminée de temps et comme un signal de commande de détection d'incident peut être émis uniquement lorsque le signal impulsionnel d'exécution de programme ne commence pas à osciller pendant une seconde période prédéterminée de temps après que le microprocesseur a d'abord été remis à son état initial, il est possible de ramener le microprocesseur à un fonctionnement normal dans le cas d'un incident temporaire du microprocesseur par exemple, dû à un bruit externe et de plus, il est possible de produire un signal d'alarme et/ou d'inhiber un système de contrôle comprenant le microprocesseur en réponse au signal de commande de détection d'alarme dans le cas d'un incident non temporaire du microprocesseur par exemple dû à un incident de matériel, améliorant ainsi la fiabilité et la sécurité du système de contrôle comprenant un microcalculateur ou un microprocesseur. R E V E N D I C AT I O N S 1. Dispositif de surveillance pour un système de commande pourvu d'un microcalculateur qui émet un signal impulsionnel d'exécution de programme à une période pré- déterminée à chaque fois qu'une gestion d'exécution est exécutée normalement, caractérisé en ce qu'il comprend: (a) un premier moyen temporisateur ( 2) répondant au microcalculateur pour lui appliquer un signal de remise à l'état initial lorsque le signal impulsionnel d'exécution de programme arrête d'osciller pendant plus longtemps qu'un premier intervalle de temps T 1 déterminé par ledit moyen temporisateur; et (b) un second moyen temporisateur ( 4) répondant au microcalculateur pour émettre un signal d'ordre de détection d'incident quand le signal impulsionnel d'exécution de programme arrête d'osciller pendant plus longtemps qu'un second intervalle de temps T 2 déterminé par ledit second moyen temporisateur, ledit second intervalle de temps T 2 étant plus long que le premier. 2 Dispositif de surveillance pour un système de commande pourvu d'un microcalculateur qui émet un signal impulsionnel d'exécution de programme à une période pré- déterminée à chaque fois qu'une gestion d'exécution est exécutée normalement, caractérisé en ce qu'il comprend: (a) un premier moyen temporisateur ( 2) répondant au microcalculateur pour émettre un signal anormal (Q 2 B) quand le signal impulsionnel d'exécution de programme arrête d'osciller pendant plus longtemps qu'un premier intervalle T 1 déterminé par ledit premier moyen temporisateur; (b) un second moyen temporisateur ( 4) répondant au microcalculateur pour émettre un signal de commande de détection d'incident quand le signal impulsionnel d'exécution de programme arrête d'osciller pendant plus longtemps qu'un second intervalle de temps T 2 déterminé ? 527354 par ledit second moyen temporisateur; ledit second intervalle de temps T 2 étant plus long que le premier; (c) un moyen oscillateur ( 20) pour produire un signal impulsionnel VU à un troisième intervalle de temps T après activation du microcalculateur; (d) un troisième moyen temporisateur ( 22) pour émettre un signal à un niveau de tension constant VOUT 2 à un quatrième intervalle de temps T 4 après activation du microcalculateur, ledit quatrième intervalle de temps T 4 étant plus court que ledit troisième intervalle de temps T 3; (e) une première porte NON-OU ayant une borne d'entrée connectée audit premier moyen temporisateur et une autre borne d'entrée connectbe audit moyen oscillant, pour émettre un premier signal impulsionnel VOUT 3 de la porte NON-OU quand ledit premier moyen temporisateur émet le signal anormal Q 2 B et quand ledit moyen oscillant produit le signal impulsionnel VOUT 1; (f) une seconde porte NON-OU ayant une borne d'entrée connectée à la sortie de ladite première porte NON-OU et une autre borne d'entrée connectée audit troisième moyen temporisateur, pour appliquer un signal de remise à l'état initial au microcalculateur quand ladite première porte NON-OU émet le signal impulsionnel de la première porte NON-OU VOT 3 et quand ledit moyen temporisateur émet le signal à un niveau de tension constant VOUT 2 ainsi le microcalculateur est d'abord remis à son état initial avant qu'il ne commence à émettre le signal impulsionnel d'exécution de programme et quand ledit troisième moyen temporisateur n'émet pas le signal à un niveau constant de tension VUT 2, et ensuite il est remis à son état initial de façon répétée pendant le premier intervalle de temps T 1 quand le microcalculateur a arrêté d'émettre le signal impulsionnel d'exécution de programme et quand ledit troisième moyen temporisateur émet le signal à un niveau constant de tension VOUT 2 3. Dispositif de surveillance selon l'une quelconque des revendications 1 ou 2, caractérisé en ce qu'il comprend de plus un moyen émettant un signal d'incident ( 6) pour émettre un signal d'incident quand il est établi en réponse au signal d'ordre de détection d'incident émis par le second moyen temporisateur précité, ledit moyen émettant un signal d'incident étant rétabli quand le microcalculateur est activé. 4. Dispositif de surveillance selon la revendication 3, caractérisé en ce qu'il comprend de plus un moyen générateur d'alarme répondant au signal d'incident émis par le moyen précité émettant un signal d'incident pour produire un signal d'alarme quand le microcalculateur arrête d'émettre le signal impulsionnel d'exécution de programme. 5. Dispositif de surveillance selon la revendication 3, caractérisé en ce qu'il comprend de plus un moyen inhibant le système de commande répondant au signal d'incident émis par le moyen précité émettant un -20 signal d'incident pour inhiber ledit système de commande quand le microcalculateur arrête d'émettre le signal impulsionnel d'exécution de programme. 6. Dispositif de surveillance selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que le second moyen temporisateur ( 4) est un multivibrateur monostable redéclenchable répondant au signal impulsionnel d'exécution de programme, ledit multivibrateur n'émettant pas le signal d'ordre de détection d'incident quand le signal impulsionnel d'exécution de programme PR déclenche de façon répétée ledit multivibrateur pendant le second intervalle de temps T 2 déterminé par la constante de temps d'un circuit RC comprenant un condensateur (C 2) et une résistance (R 2), et ledit multivibrateur émettant le signal d'ordre de détection d'incident quand le signal impulsionnel d'exécution de programme arrête d'osciller. 7. Dispositif de surveillance selon la revendication 2, caractérisé en ce que le moyen oscillateur précité comprend un amplificateur opérationnel (A 1), ayant une borne d'entrée à laquelle est appliqué un niveau de tension de seuil VT Hl et une autre borne d'entrée à laquelle sont connectés un condensateur (C 3) et une résistance (R 3) pour émettre un signal impulsionnel VOUT 1 pendant un troisième intervalle de temps T 3 après que l'amplificateur a été activé, ledit troisième intervalle de temps T 3 étant déterminé selon une constante de temps obtenue par ledit condensateur (C 3) et ladite résistance (R 3) ainsi ledit microcalculateur est d'abord remis à son état initial avant qu'il ne commence à émettre le signal impulsionnel d'exécution de programme. 8. Dispositif de surveillance selon la revendication 2, caractérisé en ce que le troisième moyen temporisateur précité comprend un amplificateur opération- nel (A 2) ayant une borne d'entrée à laquelle est appliqué un niveau de tension de seuil VTH 2 et une autre borne d'entrée à laquelle sont connectés un condensateur (C 4) et une résistance (R 8) pour émettre un signal à un niveau constant de tension VOUT 2 un quatrième intervalle de temps T 4 après que ledit amplificateur a été activé, ledit quatrième intervalle de temps T 4 étant déterminé selon une constante de temps obtenue par ledit condensateur (C 4) et ladite résistance (R 4), ainsi le microcalculateur est remis à l'état initial avant qu'il ne commence à émettre le signal impulsionnel d'exécution de programme. 9. Dispositif selon la revendication 3, caractérisé en ce que le moyen précité émettant un signal d'incident ( 6) comprend une bascule R-S, dont la borne S est connectée au second moyen temporisateur précité et dont la borne R est connectée à une source d'alimentation en courant du système de commande, ladite bascule étant établie en réponse au signal d'ordre de détection d'incident afin d'émettre le signal d'incident étant rétablie quand le microcalculateur est activé 10. Dispositif de surveillance selon la revendication 4, caractérisé en ce que le moyen générateur d'alarme précité comprend: (a) une lampe d'alarme ( 8; et (b) un moyen de commutation pour éclairer ladite lampe d'alarme en réponse au signal d'incident émis par ledit moyen émettant un signal d'incident. 11. Dispositif de surveillance selon la revendication 5, caractérisé en ce que le moyen d'inhibition du système de commande précité comprend: (a) un relais électromagnétique ( 12) ayant des contacts connectés entre une source d'alimentation en courant du système de commande et un moyen de mise en action de ce système; et (b) un moyen de commutation pour ouvrir les oontacts dudit relais électromagnétique en réponse à un signal d'incident émis par ledit moyen émettant un signal d'incident afin de couper la source d'alimentation en courant par rapport au moyen de mise en action. 12. Procédé de surveillance pour un système de commande pourvu d'un microcalculateur qui émet un signal impulsionnel d'exécution de programme PR oscillant à une période prédéterminée-à chaque fois qu'une gestion d'exécution est exécutée normalement, caractérisé en ce qu'il comprend les étapes de: (a) mesurer l'intervalle de temps depuis la dernière oscillation du signal impulsionnel d'exécution de programme PR; (b) comparer l'intervalle de temps mesuré à un premier intervalle de temps prédéterminé T 1; (c) si l'intervalle de temps mesuré est plus long que le premier intervalle de temps prédéterminé T 1 remettre le microcalculateur à son état initial; (d) comparer l'intervalle de temps mesuré à un second intervalle prédéterminé de temps T 2 qui est plus long que le premier; et (e) si l'intervalle de temps mesuré est plus long que le second intervalle prédéterminé de temps T 2 émettre un signal d'ordre de détection d'incident. 252 ? 354 13. Procédé de surveillance pour un système de commande pourvu d'un microcalculateur qui émet un signal impulsionnel d'exécution de programme PR qui oscille à une période prédéterminée à chaque fois qu'une gestion d'exécution est exécutée normalement, caractérisé en ce qu'il comprend les étapes de: (a) mesurer l'intervalle de temps depuis la dernière oscillation du signal impulsionnel d'exécution de programme PR; (b) comparer l'intervalle de temps mesuré à un premier intervalle de temps prédéterminé T 1; (c) si l'intervalle de temps mesuré est plus long que le premier intervalle de temps prédéterminé T 1, remettre de façon répétée le microcalculateur à son état initial; (d) comparer l'intervalle de temps mesuré à un second intervalle de temps prédéterminé T 2 plus long que le premier; et (e) si l'intervalle de temps mesuré est plus long que le second intervalle de temps prédéterminé T 2 émettre un signal d'ordre de détection d'incident. 14. Procédé de surveillance selon l'une quelconque des revendications 12 ou 13, caractérisé en ce qu'il comprend de plus les étapes de: (a) produire un signal d'alarme en réponse au signal d'ordre de détection d'incident; et (b) produire un signal d'inhibition du système de commande en réponse au signal d'ordre de détection d'incident.