Brevet FR2756050A1 — publié le 19980522

La présente invention concerne un procédé et un dispositif d'analyse des défauts de fonctionnement d'un système embarqué à bord d'un véhicule automobile. Actuellement, lorsqu'un ou plusieurs organes d'un système complexe embarqué à bord d'un véhicule automobile, tel que par exemple une unité de traitement d'informations associée à des capteurs, deviennent défectueux, le système dans son ensemble est mis hors service. On conçoit que ceci présente un certain nombre d'inconvénients pour le bon fonctionnement du reste du véhicule. Le but de l'invention est donc de résoudre ces problèmes en proposant un procédé et un dispositif qui permettent de conserver le plus longtemps possible au moins une partie des fonctionnalités associées au système en avertissant ou non l'utilisateur du véhicule. Une mise hors service du système n'est alors admise que si la sécurité des occupants du véhicule est mise en jeu et une action n'est entreprise que si un défaut de fonctionnement de ce système est parfaitement identifié. A cet effet, l'invention a pour objet un procédé d'analyse des défauts de fonctionnement d'un système embarqué à bord d'un véhicule automobile, caractérisé en ce qu'il comporte les étapes suivantes 1) - analyse cyclique du fonctionnement du systhème pour détecter l'apparition d'un défaut de fonctionnement de celui-ci, 2) - mémorisation du défaut sous la forme d'un défaut non confirmé, 3) - déclenchement d'une stratégie préventive de secours sous la forme d'un fonctionnement dans un premier mode semi-dégradé du système, 4) - surveillance du contact du véhicule pour effacer le défaut non confirmé mémorisé en cas de coupure du contact, 5) - analyse du fonctionnement du système pour transformer le défaut non confirmé en défaut validé en cas de persistance du défaut ou effacer le défaut non confirmé en cas de disparition de celui-ci, 6) - mémorisation du défaut validé, et 7) - déclenchement d'une stratégie de secours après validation sous la forme d'un fonctionnement dans un second mode semi-dégradé du système. Selon un autre aspect, l'invention a également pour objet un dispositif d'analyse du fonctionnement d'un système embarqué à bord d'un véhicule automobile, pour la mise en oeuvre de ce procédé. L'invention sera mieux comprise à l'aide de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés sur lesquels - La figure 1 représente un schéma synoptique illustrant la structure générale d'un dispositif d'analyse selon l'invention ; - La figure 2 représente un organigramme illustrant les différentes étapes d'un procédé d'analyse selon l'invention ; et - La figure 3 représente un organigramme illustrant les différentes étapes d'un procédé d'analyse selon l'invention, appliqué à l'analyse du fonctionnement d'un capteur de vitesse d'un système de suspension électronique d'un véhicule automobile. L'invention se rapporte donc à un procédé et à un dispositif d'analyse du fonctionnement d'un système embarqué à bord d'un véhicule automobile, tel que celui désigné par la référence générale 1 sur la figure 1. Ce système dont il y a lieu de surveiller le fonctionnement peut par exemple être un système de suspension électronique d'un véhicule automobile, relié à une unité de traitement d'informations désignée par la référence générale 2 sur cette figure 1 qui sera également appelée UC par la suite. Le système reçoit une information de vitesse du véhicule, par exemple à partir d'un capteur de vitesse désigné par la référence générale 3. On comprendra à la lecture de la description qui va suivre, que le procédé et le dispositif d'analyse selon l'invention ne sont pas limités à une telle application. On a en effet représenté sur la figure 2, un organigramme illustrant les différentes fonctions d'un pro-cédé d'analyse selon l'invention. Cet organigramme débute par une étape désignée par la référence générale 10 de mise en marche du véhicule. Ensuite est prévue une étape d'analyse cyclique du fonctionnement du système pour détecter l'apparition d'un défaut de fonctionnement de celui-ci, cette étape comportant une première phase 11 de surveillance des défauts et une seconde phase 12 de détection d'une anomalie sur l'un des éléments du système pour valider ce défaut sous la forme d'un défaut non confirmé afin de le mémoriser lors d'une étape 13. Cette étape 13 correspond en effet à une mémorisation d'un défaut détecté sous la forme d'un défaut non confirmé. Ensuite, lors de l'étape 14, on déclenche une stratégie préventive de secours SPDS sous la forme d'un fonctionnement dans un premier mode semi-dégradé du système, qui sera décrit plus en détail par la suite. Après cette étape 14 de déclenchement de la stratégie préventive de secours, on surveille, lors de l'étape 15, le contact du véhicule pour effacer, en 16, le défaut non confirmé, en cas de coupure du contact. Par contre, s'il n'y a pas de coupure du contact, on analyse, en 17, le fonctionnement du système pour transformer le défaut non confirmé en défaut validé, en cas de persistance du défaut, lors d'une étape 18, le défaut non confirmé étant alors mémorisé sous la forme d'un défaut validé lors de cette étape. Par contre, si le défaut disparaît et n'est pas validé lors de cette étape 17, on efface, lors de l'étape 19, le défaut non confirmé. Si le défaut non confirmé a été validé et mémorisé, lors de l'étape 18, on déclenche, en 20, une stratégie de secours après validation sous la forme d'un fonctionnement dans un second mode semi-dégradé du système, qui sera décrit plus en détail par la suite. Après cette étape 20 de déclenchement de la stratégie de secours après validation, on teste, en 21, le système pour déterminer si le défaut est toujours présent ou non. Si c'est le cas, en 22, on constate qu'un défaut validé est en mémoire. Si ce n'est pas le cas, le défaut validé est transformé en défaut fugitif, lors de l'étape 23, et mémorisé sous cette forme. Puis, en 24, on crée un compteur affecté au défaut fugitif correspondant et on établit celui-ci à une valeur X prédéterminée. On notera à cet égard que l'étape 12 de détection de l'anomalie peut être associée à une étape de test, en 25, pour déterminer si le compteur correspondant est ou non à zéro, et éventuellement à une étape 26 de décrémentation de ce compteur, si celui-ci n'est pas à zéro, à chaque coupure du contact du véhicule. Une autre façon de faire consisterait à transformer le défaut validé mémorisé de l'étape 18 en défaut fugitif, si, à la suite d'une coupure et d'une remise du contact du véhicule, ce défaut a disparu. On conçoit alors que ce procédé d'analyse des défauts de fonctionnement d'un système embarqué à bord d'un véhicule automobile est basé sur une analyse en deux étapes. La première étape concerne la détection d'un défaut dit non confirmé qui est un défaut élémentaire, c 'est-à-dire l'anomalie la plus courte survenue ne permettant pas encore de dire que l'organe correspondant est réellement défectueux. Ce défaut non confirmé est pris en compte en tant que tel après avoir été détecté et validé lors d'une première étape de validation, par application de critères de détection tels que par exemple une durée, un nombre de kilomètres parcourus, un niveau de température, etc... Une fois ce défaut détecté, l'unité de traitement d'informations UC peut appliquer une stratégie dite préventive de secours qui est en fait un fonctionnement selon un premier mode semi-dégradé du système. Ce défaut non confirmé disparait alors à chaque coupure du contact ou lorsque les critères de réhabilitation de l'organe sont remplis. La deuxième étape de ce procédé concerne le passage de ce défaut du statut non confirmé à un statut de défaut validé, c'est-à-dire que l'anomalie constatée s'est maintenue et que le défaut est réellement présent. Ce défaut est mémorisé en tant que défaut validé après avoir été détecté par exemple n fois successivement au cours d'une deuxième étape de validation, constituant en quelque sorte un filtre temporel. Une fois ce défaut validé mémorisé, l'unité de traitement d'informations UC peut appliquer une stratégie dite de secours après validation qui est également un fonctionnement selon un mode semi-dégradé du système et qui peut être différent du premier mis en oeuvre lors de l'application de la stratégie préventive de secours. A ce stade, si le défaut disparaît ou s'il y a coupure du contact du véhicule, ce défaut passe de l'état validé à l'état fugitif. On notera également que dans les cas de défauts graves de fonctionnement, pouvant toucher à la sécurité des occupants du véhicule, la stratégie préventive de secours et la stratégie de secours après validation peuvent être identiques. Il en est de même pour les étapes de validation des défauts non confirmés et validés. Ceci permet de réagir rapidement face aux problèmes et d'alerter ou non rapidement le conducteur du véhicule. Lorsque le défaut est validé, il y a en même temps création d'un compteur ayant pour valeur X par exemple. Lorsque ce défaut validé devient fugitif, ce compteur est dècrémenté à chaque coupure du contact jusqu a zéro. On conçoit ainsi qu'au bout de X mises sous tension du véhicule, le défaut fugitif disparaît complètement s'il ne s'est plus reproduit. Ceci permet de dater l'apparition du défaut. Ainsi qu'on l'a indiqué précédemment, une autre façon de faire serait de garder le défaut validé mémorisé après la coupure du contact. A la mise sous tension suivante du véhicule, ce défaut ne deviendrait fugitif que si son absence est confirmée. Le tableau ci-dessous illustre une telle analyse pour la détection de défauts. PONCTION ANOMALIE STRATEGIE DE STRATEGIE NOMBRE DE | STRATEGIE ANNULATION OU ORGANE DETECTEE DETECTION PREVENTIVE DETECTIONS | DE SECOURS STRATEGIE TESTE DE SECOURS POUR VALIDATION | APRES DE SECOURS VALIDATION 1 2 3 4 5 5 6 7 1 - Fonction ou organe testé : nom de l'organe testé (capteur actionneur, calculateur, etc...) ou de la fonction (alimentation, etc...), 2 - Anomalie détectée : liste des différentes anomalies détectables, 3 - Stratégie de détection : condition(s) de détection permettant de déceler l'anomalie, 4 - Stratégie préventive de secours : définition du mode dégradé mis en oeuvre dès la détection d'un défaut et avant sa validation, 5 - Nombre de détections pour validation : un défaut doit être détecté n fois consécutives pour être enregistré dans la mémoire de l'unité de traitement d'informations en tant que défaut validé (dans ce cas, un compteur associé sera mis à une valeur X), 6 - Stratégie de secours après validation : définition du mode dégradé mis en oeuvre dès que le défaut est validé, 7 - Annulation de la stratégie : condition(s) nécessaire(s) au retour à un mode de fonctionnement normal (annulation de l'une ou l'autre des stratégies de secours) et de remise à zéro du compteur associé à ce défaut. Comme il ressort de ce qui précède, les étapes de détection et de validation d'un défaut non confirmé et de transformation de ce défaut non confirmé en défaut validé, réalisées par exemple lors des étapes 12 et 17 décrites en regard de la figure 2, peuvent consister en fait à détecter le défaut pendant deux périodes de temps différentes, celle associée à l'étape 17 de transformation du défaut non confirmé en défaut validé étant plus longue que celle associée à l'étape 12 de détection d'un défaut non confirmé. Comme on l'a indiqué précédemment également, les stratégies préventive de secours et de secours après validation peuvent consister en des modes de fonctionnement semi-dégradé du système. Ces modes de fonctionnement semi-dégradé peuvent alors comporter des étapes de simulation d'informations et/ou d'inhibition de certaines fonctionnalités du système. Un tel fonctionnement sera mieux compris à la lumière de la figure 3, qui illustre un procédé d'analyse des défauts de fonctionnement d'un système associé à un capteur de vitesse du véhicule, dans lequel le défaut de fonctionnement est l'absence de signal de sortie de vitesse du capteur lorsque le véhicule roule. Sur cette figure 3, les étapes 30 à 46 correspondent respectivement aux étapes 10 à 26 de la figure 2. Le tableau ci-dessous correspond à cette analyse. FONCTION ANOMALIE STRATEGIE DE STRATEGIE NOMBRE DE STRATEGIE DE ANNULATION OU ORGANE OETECTEE DETECTION PREVENTIVE DETECTIONS SECOURS STRATEGIE TESTE DE SECOURS POUR VALIDA- APRES DE SECOURS TION VALIDATION Capteur de Capteur Accélérateur Automatisme 30 Automatisme 50 m par vitesse débranché enfoncé de plus conserve conservé courus ou véhicule ou hors de 20 % ou pa- avec vitesse avec vitesse coupure de service pillon enfoncé véhicule = véhicule - contact plus de x * 80 km/h et 130 Km/h et pendant 10 s inhibition inhibition consécutives et des passages i des passages pas de signal en ferme sur en ferme sur vitesse angle volant angle volant 1 2 3 4 5 6 7 On conçoit alors que l'étape 31 concerne la surveillance des défauts sur le capteur de vitesse du véhicule. La détection d'une anomalie peut par exemple résulter de la détection d'un accélérateur enfoncé de plus de 20 % ou d'un papillon enfoncé de plus de X %, alors qu'il n'y a pas de signal de vitesse présent en sortie du capteur. La validation du défaut non confirmé correspondant peut par exemple consister en une détection de l'absence du signal pendant dix secondes (10 s) consécutives avant la mémorisation de ce défaut sous une forme non confirmée lors de l'étape 33. Le déclenchement en 34 de la stratégie préventive de secours peut alors consister à conserver l'automatisme du système correspondant avec une vitesse simulée et fictive imposée par l'unité de traitement d'informations UC par exemple de 80 km/h et en une inhibition des sousprogrammes utilisant la vitesse pouvant créer un fonctionnement ératique touchant à la sécurité des occupants du véhicule. L'étape de transformation du défaut non confirmé en défaut confirmé peut par exemple consister en une détection d'une absence de signal pendant par exemple 30 fois 10 secondes, avant d'appliquer la stratégie de secours après validation, lors de l'étape 40, au cours de laquelle l'automatisme du système est conservé avec une vitesse fictive imposée par l'unité de traitement d > in- formations UC de 130 km/h et l'inhibition des sousprogrammes utilisant la vitesse, pouvant créer un fonctionnement ératique de celui-ci. On conçoit alors que le procédé et le disposition selon l'invention présentent un certain nombre d'avantages dans la mesure où ils permettent de conserver le plus longtemps possible au moins une partie des fonctionnalités du système. REVENDICATIONS 1.- Procédé d'analyse des défauts de fonctionnement d'un système (1) embarqué à bord d'un véhicule automobile, caractérisé en ce qu'il comporte les étapes suivantes 1) - analyse cyclique (en 11, 12) du fonctionnement du système pour détecter l'apparition d'un défaut de fonctionnement de celui-ci, 2) - mémorisation (en 13) du défaut sous la forme d'un défaut non confirmé, 3) - déclenchement (en 14) d'une stratégie préventive de secours sous la forme d'un fonctionnement dans un premier mode semi-dégradé du système, 4) - surveillance (en 15) du contact du véhicule pour effacer (en 16) le défaut non confirmé mémorisé en cas de coupure du contact, 5) - analyse (en 17) du fonctionnement du système pour transformer (en 18) le défaut non confirmé en défaut validé en cas de persistance du défaut ou effacer (en 19) le défaut non confirmé en cas de disparition de celui-ci, 6) - mémorisation (en 18) du défaut validé, et 7) - déclenchement (en 20) d'une stratégie de secours après validation sous la forme d'un fonctionnement dans un second mode semi-dégradé du système. 2.- Procédé selon la revendication 1, caractérisé en ce qu'il comporte après l'étape 7) de déclenchement (en 20) de la stratégie de secours après validation, une étape d'analyse (21) du fonctionnement du système pour détecter la disparition du défaut validé et dans ce cas, le transformer en défaut fugitif (en 23). 3.- Procédé selon la revendication 2, caractérisé en ce que l'étape (23) de transformation d'un défaut validé en défaut fugitif est associée à une étape de création (en 24) d'un compteur affecté au défaut fugitif correspondant et à l'établissement (en 24) de celui-ci à une valeur prédéterminée, et en ce que ce compteur est décrémenté (en 25, 26), jusqu'a zéro, à chaque coupure du contact du véhicule. 4.- Procédé selon la revendication 1, caractérisé en ce que le défaut validé mémorisé est transformé en défaut fugitif si, à la suite d'une coupure et d'une remise du contact du véhicule, ce défaut a disparu. 5.- Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le système (1) dont il y a lieu d'analyser le fonctionnement est un système associé à un capteur (3) de vitesse du véhicule, dont le défaut de fonctionnement est l'absence de signal de sortie de vitesse lorsque le véhicule roule. 6.- Procédé selon la revendication 5, caractérisé en ce que les étapes 1) et 5) consistent à détecter l'absence de signal de sortie du capteur pendant deux périodes de temps différentes, celle associée à l'étape 5) étant plus longue que celle associée à l'étape 1). 7.- Procédé selon la revendication 5 ou 6, caractérisé en ce que les stratégies préventive de secours et de secours après validation consistent à simuler pour le reste du système, des signaux de vitesse prédéterminés et à inhiber certaines fonctions de celui-ci. 8.- Dispositif d'analyse du fonctionnement d'un système embarqué à bord d'un véhicule automobile, pour la mise en oeuvre d'un procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'il comporte une unité de traitement d'informations (2) associée au système (1) dont il y a lieu d'analyser le fonctionnement et recevant une information relative à l'état du contact du véhicule.