Brevet FR2635885A1 — publié le 19900302

L'invention concerne un procédé pour protéger un système programmé pour la commande d'un appareil utilisateur et comportant une unité centrale et des circuits d'entrée destinés à recevoir des données à traiter par l'unité centrale et pouvant contenir des signaux parasites susceptibles de perturber l'exécution du programme par l'unité centrale, et un dispositif pour la mise en oeuvre de ce procédé. Des procédés et dispositifs de ce type sont déjà connus. Mais ils présentent l'inconvénient majeur qu'ils assurent la protection contre les parasites par une conception appropriée des dispositifs d'entrée qui établissent un barrière empêchant les parasites de parvenir à l'unité centrale. L'écran anti-parasites établi ainsi autour de l'unité centrale rend le système complexe et coûteux. La présente invention a pour objectif de proposer un procédé et un dispositif qui ne présentent pas les inconvénients susmentionnés. Pour atteindre ce but, le procédé selon l'invention est caractérisé en ce que l'on laisse les signaux parasites parvenir à l'unité centrale, détecte la présence d'une perturbation dans l'exécution du programme et remet à l'état de départ ce programme à la suite de la détection d'une perturbation. Selon une caractéristique avantageuse de l'invention, on programme l'unité centrale pour qu'elle produise un signal périodique dont la période est régulière en cas d'une exécution normale du programme et est pertubée à la suite d'une perturbation du déroulement normal dudit programme et provoque la remise à l'état de départ du programme lorsque ledit signal est perturbé. Le dispositif pour la mise en oeuvre de ce procédé est caractérisé en ce qu'il comprend un dispositif détecteur d'une perturbation dans l'exécution du programme et générateur d'un signal de remise à l'état de départ du programme à la suite de la détection d'une perturbation. Selon une caractéristique avantageuse de l'invention, le dispositif détecteur et de remise à l'état de départ du programme comprend un circuit oscillateur dont la borne de sortie est reliée à une borne de remise à l'état de départ de l'unité centrale et des moyens d'inhibition ou de libération du circuit oscillateur en fonction de la réception d'un signal indicateur des conditions d'exécution du programme, en provenance de l'unité centrale. L'invention sera mieux comprise et d'autres buts, caractéristiques, détails et avantages de celle-ci apparaltront plus clairement au cours de la description explicative qui va suivre faite en référence à la figure unique, donnée uniquement à titre d'exemple illustant de façon schématique un mode de réalisation de l'invention. La figure unique montre schématiquement un système programmé qui comprend une unité centrale UC d'un type connu en soi, avantageusement pourvu d'un microprocesseur, un dispositif de circuit d'entrée DE ayant un certain nombre d'entrées E destinées à recevoir les données devant être traitées par l'unité centrale en vue de la commande d'un appareil utilisateur désigné par AU. Dans ce système les signaux parasites reçus avec les signaux de données aux entrées E parviennent comme ces derniers à l'unité centrale, les circuits d'entrée n'étant pas conçus pour établir un écran de protection contre les parasites. Pour assurer cette protection, on associe à l'unité centrale un dispositif qui a pour fonction de vérifier si l'exécution du programme par l'unité centrale se déroule normalement, c'est-à-dire sans perturbation, et de remettre à l'état de départ ce programme à la suite de la détection d'une perturbation. Ce dispositif détecteur de perturbation et de remise à l'état de départ du programme porte le symbole de référence DG. Pour permettre au détecteur générateur DG à accomplir sa fonction, l'unité centrale est programmée pour produire un signal périodique que l'on peut prélever à une borne de sortie de l'unité centrale et qui présente une fréquence qui est régulière et définie quand l'exécution du programme par l'unité centrale se déroule normalement, c'est-à-dire sans perturbation. Par contre ce signal reflètera des pertubations dans l'exécution du programme occasionnées par des signaux parasites qui ont été reçus aux entrées E du dispositif de circuits d'entrée DE et sont parvenus à l'unité centrale UC. La production de ce signal indicateur sera avantageusement inscrit dans le programme dans la boucle normale de l'automatisme de façon à être affecté par des perturbations dans l'exécution du programme qu'engendrent ces signaux parasites. Comme l'indique la figure unique, ce signal indicateur est prélevé à une borne S de l'unité centrale UC. Ce signal qui est schématiquement représenté en s est appliqué à l'entrée du dispositif détecteur générateur DG. Celui-ci comprend un circuit oscillateur CO et un circuit d'inhibition CI de l'oscillateur. Le circuit oscillateur CO comprend essentiellement une porte P du type NON-ET monté en inverseur, une résistance Ri montée en parallèle sur la porte P entre les entrées réunies de celle-ci et la sortie, ainsi qu'un condensateur Cl disposé entre les entrées de la porte P et le potentiel positif de par exemple plus 5 volts de la source de tension électrique du système. La sortie de l'oscillateur CO, formée par la sortie de la porte P est reliée à une borne RES de l'unité centrale qui constitue la borne d'application d'un signal de remise à l'état de départ de l'unité centrale. Le circuit d'inhibition CI de l'oscillateur CO comprend essentiellement un transistor TR relié par son collecteur à l'entrée de la porte P et dont l'émetteur est mis à la masse. La base du transitor TR est reliée par l'intermédiaire d'un condensateur C2 à la borne S de l'unité centrale UC. Une diode Dl est montée entre l'émetteur et la base du transistor, l'anode de la diode étant reliée à l'émetteur. Le système selon l'invention qui vient d'être décrit en se référant à la figure unique fonctionne de la manière suivante Le signal s qui indique l'état de fonctionnement de l'unité centrale et qui est formé par une succession de brèves impulsions positives normalement séparées d'une durée de temps prédéterminée de par exemple 30 millisecondes rend périodiquement conducteur le transistor TR. Le collecteur de ce dernier présente pendant ces intervalles de conduction un potentiel proche de celui de la masse, ce qui impose l'état "O" à l'entrée de la porte P. Par conséquent la sortie de cette porte est à l'état "1". Lorsque le transistor TR se bloque, le condensateur Cl du circuit oscillateur se charge à travers la résistance Ri selon la constante de temps déterminée par le condensateur Cl et cette résistance R1. Cette constante de temps est choisie de telle façon que l'entrée de la porte P franchisse le seuil de son basculement si le transistor TR n'est pas rendu conducteur après l'intervalle normal de séparation de deux impulsions positives successives du signal s. Par conséquent si la prochaine impulsion positive n'apparaisse pas à l'instant de temps prédéterminé, la porte P bascule et sa sortie passe à l'état "O" ce qui entraîne la remise à zéro ou, en d'autres termes, à l'état initial ou de départ du programme que doit exécuter l'unité centrale. Il est à noter que l'oscillateur CO est dimensionné pour osciller avec une période de par exemple 100 millisecondes. Le signal de sortie ainsi produit est indiqué à la figure. Par conséquent, en l'absence d'une impulsion du signal s à l'entrée du dispositif DG, ce dernier applique à l'entrée RES un signal qui remet à zéro le programme pendant les 100 millisecondes dans l'exemple donné. Pendant les 100 millisecondes suivantes, l'unité centrale peut reprendre l'exécution du programme pour revenir éventuellement à nouveau au point de départ si la perturbation ayant entraîné la mise en marche de l'oscillateur et reflété par une perturbation du signal s n'a pas cessé entre temps. Les périodes des signaux s et du signal engendré par l'oscillateur CO sont choisis avantageusement en fonction de l'inertie, c'est-à-dire des temps de réponse des dispositifs de l'appareil utilisateur de commande de l'unité centrale, pour qu'une perturbation survenant au cours de l'exécution du programme ne produise pas des effets irréversible au niveau de l'appareil utilisateur. On pourrait également prévoir à cette fin des temporisations appropriées en amont de cet appareil. Il ressort de la description du système selon l'invention et de son fonctionnement, qu'il assure une protection efficace contre des signaux parasites, sans qu'il soit nécessaire d'établir des écrans de protection au niveau des circuits d'entrée. En laissant les signaux parasites parvenir à l'unité centrale, ces parasites sont détectés par des perturbations dans l'exécution du programme qu'ils produisent et empêchés de produire un effet préjudiciable pour l'appareil utilisateur, par la remise à l'état de départ du programme. Le dispositif détecteur de perturbations et générateur des signaux de remise à l'état initial assure que l'exécution du programme se fait dans des conditions correctes. Bien entendu de nombreuses modifications peuvent être apportées au procédé et au dispositif selon l'invention sans sortir du cadre de celle-ci. Ainsi, le dispositif DG formant chien de garde peut être réalisé de toute autre façon appropriée. Il importe seulement qu'il puisse exercer les fonctions de la détection d'une perturbation et de la remise à l'état de départ des programmes. On pourrait aussi utiliser tout autre critère approprié que le signal s, qui est susceptible d'indiquer une perturbation dans l'exécution du programme. On pourrait aussi prévoir plusieurs signaux indicateurs à des parties différentes du programme pour une détection sélective des perturbations, ces signaux seraient alors prélevés à des sorties différentes. REVENDICATIONS 1. Procédé pour protéger un système programmé pour la commande d'un appareil utilisateur et comportant une unité centrale et des circuits d'entrée destinés à recevoir des données à traiter par l'unité centrale et pouvant contenir des signaux parasites susceptibles de perturber l'exécution du programme par l'unité centrale, caractérisé en ce que l'on laisse les signaux parasites parvenir à l'unité centrale (UC), détecte la présence d'une perturbation dans l'exécution du programme et remet à l'état de départ ce programme à la suite d'une détection d'une perturbation. 2. Procédé selon la revendication 1, caractérisé en ce que l'on programme l'unité centrale pour qu'elle produise un signal périodique dont la période est régulière en cas d'une exécution normale du programme et est perturbée à la suite d'une perturbation du déroulement normale dudit programme et provoque la remise à l'état de départ du programme tant ledit signal est perturbé. 3. Dispositif pour la mise en oeuvre du procédé selon l'une des revendications précédentes, caractérisé en ce qu'il comprend un dispositif (DG) détecteur d'une perturbation dans l'exécution du programme et générateur d'un signal de remise à l'état de départ du programme à la suite d'une détection d'une perturbation. 4. Dispositif selon la revendication 3, caractérisé en ce que le dispositif détecteur et de remise à l'état de départ du programme (DG) comprend un circuit oscillateur (OC) dont la borne de sortie est reliée à une borne de remise à l'état de départ (RES) de l'unité centrale (UC) et des moyens d'inhibition (CI) du circuit oscillateur en fonction de la nature d'un signal reçu, indicateur des conditions d'exécution du programme, en provenance de l'unité centrale (UC). 5. Dispositif selon la revendication 4, caractérisé en ce que le circuit oscillateur (OC) comprend un organe (P) qui change l'état du potentiel à la borne de sortie de l'oscillateur lorsque les impulsions du signal indicateur précitées ne se suivent pas à la fréquence prédéterminée. 6. Dispositif selon la revendication 5, caractérisé en ce que le circuit oscillateur (OC) comprend un élément de bascule (P) auquel est associé un circuit (RC) de temporisation (R1, C1) déterminant la fréquence de l'oscillateur et le circuit dtinhibition (CI) comprend un transistor commutateur (TR) adapté pour maintenir l'entrée de l'élément inverseur à un état prédéterminé pendant la présence d'une impulsion du signal indicateur précité, ladite constante de temps étant choisie pour provoquer le basculement de l'état de sortie de l'oscillateur lorsque lesdites impulsions ne se suivent pas à la fréquence prédéterminée.