Brevet FR2770917A1 — publié le 19990514

La présente invention concerne un système de contrôle du fonctionnement d'un calculateur de pilotage d'organes fonctionnels d'un véhicule automobile. On connait déjà dans l'état de la technique, un certain nombre de systèmes de contrôle du fonctionnement de calculateurs du type comportant un ensemble à microprocesseur associé à des moyens de mémorisation de données et à des moyens d'entrée et de sortie d'informations pour le pilotage d'organes embarqués à bord de véhicules automobiles. De tels systèmes sont de plus en plus souvent implantés dans les véhicules automobiles en raison de l'intégration croissante de moyens électroniques de commande à bord de ces véhicules. C'est ainsi par exemple que de tels calculateurs peuvent être intégrés dans les véhicules pour assurer la gestion du fonctionnement des moteurs, des boites de vitesses, etc..., de ceux-ci. Ces calculateurs de gestion du fonctionnement du moteur sont donc adaptés pour contrôler le bon fonctionnement par exemple de l'injection, de l'allumage ou de la dépollution de celui-ci, et assurent également le pilotage d'organes associés à d'autres fonctions du véhicule (papillon motorisé, freinage...). On conçoit alors que chaque calculateur doit garantir le bon fonctionnement de ce ou de ces organes tout en assurant la sécurité de fonctionnement du véhicule en cas de dysfonctionnement de la chaîne de commande. En effet, pour rationaliser l'utilisation de ces calculateurs, d'une part, en terme de coût et d'autre part, en terme d'échange de données, il est souhaitable de regrouper dans un calculateur unique, les commandes d'au moins deux organes qui auparavant étaient réalisées de manière indépendante. Ces structures font apparaître un niveau de complexité plus important du calculateur, car elles ajoutent aux moyens connus actuellement, déjà très complexes, des moyens de pilotage d'un organe pouvant mettre en cause la sécurité des occupants du véhicule. En effet, lors d'un dysfonctionnement d'un élément de la chaîne de commande, c'est-à-dire en cas de dysfonctionnement de l'un des composants électroniques de celle-ci, que ce soit au niveau matériel ou logiciel, le mode de défaillance d'un organe peut produire une action non contrôlée du calculateur entraînant alors une action imprévue par le conducteur du véhicule, comme par exemple une accélération de ce véhicule. Pour résoudre ces problèmes, on a donc déjà proposé dans l'état de la technique d'associer à un microprocesseur de ce calculateur de pilotage, un système de contrôle de fonctionnement. En fait, ce système comporte principalement un autre microprocesseur de contrôle également appelé microprocesseur de chien de garde fonctionnant en mode esclave par rapport au microprocesseur principal et échangeant avec celui-ci un certain nombre de messages permettant de contrôler que l'un et l'autre de ces microprocesseurs ne perdent pas le contrôle des tâches à accomplir. Dans le cas d'un dysfonctionnement du calculateur, ce microprocesseur esclave est adapté pour provoquer une réinitialisation du microprocesseur principal et des moyens d'entrée et de sortie d'informations de celui-ci afin de faire redémarrer le calculateur. On conçoit cependant que ceci présente un certain nombre d'inconvénients notamment au niveau de la complexité d'un tel système et de ses coûts de fabrication. Le but de l'invention est donc de résoudre ces problèmes. A cet effet, l'invention a pour objet un système de contrôle du fonctionnement d'un calculateur de pilotage d'organes fonctionnels d'un véhicule automobile, du type comportant un ensemble à microprocesseur associé à des moyens de mémorisation de données et à des moyens d'entrée et de sortie d'informations pour le pilotage des organes, caractérisé en ce qu'il comporte des moyens temporisés de réinitialisation de l'ensemble à microprocesseur et des moyens d'entrée et de sortie, recevant un signal de réarmement émis périodiquement par l'ensemble à microprocesseur lorsque celui-ci fonctionne normalement, de manière à provoquer une réinitialisation automatique de cet ensemble à microprocesseur et des moyens d'entrée et de sortie en cas de dysfonctionnement de cet ensemble à microprocesseur, celuici n'émettant plus le signal de réarmement. L'invention sera mieux comprise à l'aide de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant aux dessins annexés, sur lesquels - la Fig.l représente un schéma synoptique d'un système de contrôle de l'état de la technique; - la Fig.2 représente un schéma synoptique d'un système de contrôle selon l'invention; - la Fig.3 illustre différentes tâches accomplies par un calculateur implanté dans un véhicule automobile; - la Fig.4 représente un organigramme illustrant le fonctionnement d'un calculateur pour le traitement d'une tâche périodique; et - la Fig.5 illustre le fonctionnement d'un système de contrôle selon l'invention. On reconnaît en effet sur la figure 1, un système de contrôle du fonctionnement d'un calculateur de pilotage d'organes fonctionnels d'un véhicule automobile, de l'état de la technique. Un tel calculateur comporte un premier ensemble à microprocesseur appelé également microprocesseur principal, désigné par la référence générale 1 sur cette figure, qui est associé par l'intermédiaire d'un bus de transmission d'informations 2 à des moyens d'entrée d'informations désignés par la référence générale 3 et à des moyens de sortie d'informations désignés par la référence générale 4. Par ailleurs, cet ensemble à microprocesseur 1 est également associé à des moyens de mémorisation de données désignés par la référence générale 5 et comportant par exemple une mémoire vive RAM 6 et une mémoire effaçable et programmable électriquement EEPROM 7. Enfin, il est également prévu un second ensemble à microprocesseur désigné par la référence générale 8 sur cette figure, constitué par un microprocesseur de contrôle également appelé chien de garde. Ce second ensemble à microprocesseur est adapté pour émettre un signal de réinitialisation RESET à destination de l'ensemble à microprocesseur principal et des moyens d'entrée et de sortie d'informations, en cas de dysfonctionnement du calculateur. On conçoit en effet que dans un tel calculateur, l'ensemble à microprocesseur principal 1 pilote les fonctionnalités de celui-ci en association avec les moyens de mémorisation de données qui permettent de stocker les programmes et les données de pilotage de l'organe à commander. Afin de connaître à tout instant l'état des organes, cet ensemble à microprocesseur 1 fait l'acquisition des informations issues de différents capteurs associés à celui-ci par les moyens d'entrée de données 3. Dans le cas d'un calculateur de contrôle du fonctionnement d'un moteur, ces informations peuvent par exemple concerner le régime du moteur, la température de celui-ci, la pression et le débit d'air, etc.. En fonction de ces différentes informations, l'ensemble à microprocesseur principal 1 délivre des informations de commande d'un ou de plusieurs actionneurs par l'intermédiaire des moyens de sortie 4 pour piloter par exemple des injecteurs, des moyens de commande de l'allumage, des électrovannes, un papillon motorisé, etc... Le bon fonctionnement du calculateur est en fait contrôlé grâce au second ensemble à microprocesseur 8 qui fonctionne en mode esclave par rapport au premier ensemble à microprocesseur, et qui échange avec celui-ci un certain nombre d'informations afin de contrôler que ces ensembles ne perdent pas le contrôle des tâches à accomplir. En cas de problèmes, la réinitialisation du calculateur est assurée par émission par le second ensemble à microprocesseur de chien de garde du signal de réinitialisation appelé RESET sur cette figure. On conçoit cependant comme on l'a indiqué précédemment qu'une telle structure présente un certain nombre d'inconvénients. On a représenté sur la figure 2, la structure d'un système selon l'invention permettant de résoudre ces problèmes. Celui-ci comporte toujours l'ensemble à microprocesseur principal 1, le bus de transmission d'informations 2, les moyens d'entrée 3 et les moyens de sortie 4 et les moyens de mémorisation 5 comportant les deux types de mémoire 6 et 7. Le système de contrôle selon l'invention comporte également des moyens temporisés de réinitialisation de l'ensemble à microprocesseur et des moyens d'entrée et de sortie d'informations. Ces moyens temporisés de réinitialisation sont désignés par la référence générale 9 sur cette figure 2. Ces moyens reçoivent en entrée un signal de réarmement émis périodiquement par l'ensemble à microprocesseur 1 lorsque celui-ci fonctionne normalement, de manière à provoquer une réinitialisation automatique de cet ensemble à microprocesseur et des moyens d'entrée et de sortie en cas de dysfonctionnement de l'ensemble à microprocesseur, celui-ci n'émettant plus le signal de réarmement. En fait, les moyens temporisés de réinitialisation peuvent comporter un module de chien de garde de type classique, désigné par la référence générale 10 sur cette figure, associé à des moyens de temporisation désignés par la référence générale 11 et constitués par exemple par un circuit de type RC, muni d'une résistance et d'un condensateur en série. Le module de chien de garde 10 est relié en entrée à une sortie de signal de réarmement de l'ensemble à microprocesseur 1 et en sortie à une entrée de réinitialisation de cet ensemble à microprocesseur 1 et aux moyens d'entrée et de sortie 3,4, pour leur appliquer un signal de réinitialisation RESET. En fait, le signal de réarmement émis par l'ensemble à microprocesseur 1 peut être émis à chaque fois que celuici débute le traitement d'une tâche périodique. Ceci est illustré sur la figure 3, sur laquelle on peut constater que l'ensemble à microprocesseur 1 peut ac complir un certain nombre de tâches, parmi lesquelles une tâche de mise sous tension et d'initialisation désignée par la référence générale 12 sur cette figure, une tâche de fond désignée par la référence générale 13, une tâche principale désignée par la référence générale 14 et deux tâches auxiliaires désignées par les références générales 15 et 16. La tâche 12 correspond à la tâche de mise sous tension et d'initialisation du calculateur qui est mise en oeuvre à chaque démarrage de celui-ci avant que cet ensemble à microprocesseur 1 se dirige vers la tâche de fond 13. Cette tâche de fond peut être activée pour des actions ne nécessitant aucune priorité temporelle et pouvant ne pas s'exécuter si le traitement des autres tâches devient prioritaire. Ceci est par exemple le cas de la tâche principale 14, également appelée tâche temporelle rapide, activée par une interruption matérielle ou logicielle, cette interruption étant dénommée IT HTR sur cette figure 3. Au cours de cette tâche, le calculateur calcule les différents paramètres nécessaires à la commande de l'organe correspondant. Les tâches 15 et 16 mentionnées précédemment peuvent être des tâches de traitement d'interruptions matérielles provenant de circuits d'entrée par exemple et activées à des périodes plus longues pour le traitement par exemple d'une cible de régime, etc... Comme on l'a indiqué précédemment et comme cela est illustré sur la figure 4, l'ensemble à microprocesseur 1 peut être adapté pour émettre un signal de réarmement des moyens temporisés de réinitialisation à chaque fois qu'il débute le traitement d'une tâche périodique, telle que par exemple la tâche principale 14. Ceci est illustré sur la figure 4 où l'on peut constater qu'à chaque fois que l'ensemble à microprocesseur 1 reçoit une interruption HTR, il déclenche lors de l'étape 17, le réarmement du module de chien de garde avant de passer au traitement de la tâche proprement dite lors de l'étape 18. On conçoit alors comme on peut le voir sur la figure 5, qu'à chaque fois que l'ensemble à microprocesseur 1 débute le traitement de cette tâche périodique HTR, comme cela est illustré en 19 sur cette figure 5, il émet un signal de réarmement du module de chien de garde comme cela est illustré par la flèche désignée par la référence générale 20 sur cette figure. Ceci a alors pour effet de réarmer les moyens temporisés de réinitialisation comme cela est illustré par la flèche 21 afin d'obtenir un signal RESET inactif (haut) en sortie de ceux-ci comme cela est illustré par la flèche 22. On conçoit en effet que les moyens de temporisation 11 comprenant le circuit RC, permettent de calibrer une base de temps, se décomptant après réarmement du module de chien de garde. Si avant que ce module n' ait fini de décompter le temps, l'ensemble à microprocesseur 1 émet un signal de réarmement, la base de temps redémarre et le module de chien de garde 10 est donc réarmé. Le fonctionnement de l'ensemble à microprocesseur est alors normal et le calculateur n'est pas réinitialisé. Par contre, en cas de dysfonctionnement de l'un ou l'autre des éléments de ce calculateur, il peut se produire un défaut mettant en jeu la sécurité des passagers du véhicule et qui peut être constitué par exemple par une perturbation du déroulement des instructions du logiciel de pilotage d'un organe forçant ainsi l'ensemble à microprocesseur dans une boucle infinie et laissant la commande de l'organe toujours active. Dans ce cas où l'ensemble à microprocesseur fonctionne dans une boucle, il n'est donc plus à même d'engager le traitement de sa tâche périodique principale, de sorte qu'il n'émet plus en direction des moyens temporisés de réinitialisation, de signal de réarmement. A la fin de la temporisation, le module de chien de garde 10 émet alors le signal de réinitialisation RESET de cet ensemble à microprocesseur et des moyens d'entrée et de sortie, en basculant sa sortie dans un état actif (bas). Ce signal impose alors une réinitialisation complète du calculateur, ce qui lui permet de redémarrer correctement, évitant ainsi à l'ensemble à microprocesseur de provoquer une commande imprévue. On conçoit alors que lorsque ce signal de réinitialisation repasse à l'état inactif (haut), le calculateur recommence un cycle normal de fonctionnement en activant toutes les tâches logicielles de celui-ci. Le dysfonctionnement de ce calculateur ayant conduit à une commande imprévue d'un organe, est donc de courte durée et ne pénalise ainsi que très peu de temps le conducteur du véhicule. Ce fonctionnement est illustré comme cela a été indiqué précédemment sur la figure 5. On conçoit alors dans le système selon l'invention, il est prévu des moyens temporisés de réinitialisation de l'ensemble à microprocesseur et des moyens d'entrée et de sortie d'informations de celui-ci, qui reçoivent un signal de réarmement émis périodiquement par l'ensemble à microprocesseur lorsque celui-ci fonctionne normalement. En cas de dysfonctionnement de cet ensemble à microprocesseur, celui-ci n'émet alors plus de signal de réarmement en direction des moyens temporisés de réinitialisation, et à la fin de la période de temps prédéterminée par ces moyens, ceux-ci émettent en direction de cet ensemble à microprocesseur et de ses moyens d'entrée et de sortie d'informations, un signal de réinitialisation afin de faire redémarrer le calculateur. Ces moyens temporisés de réinitialisation peuvent comporter un module de chien de garde associé à une base de temps constituée par exemple par un circuit RC. Bien entendu, d'autres moyens peuvent être envisagés. Cette structure présente donc un certain nombre d'avantages par rapport aux structures des systèmes de l'état de la technique dans la mesure où un tel système selon l'invention est très simple et est donc d'un coût de fabrication peu élevé. REVENDICATIONS 1. Système de contrôle du fonctionnement d'un calculateur de pilotage d'organes fonctionnels d'un véhicule automobile, du type comportant un ensemble à microprocesseur (1) associé à des moyens de mémorisation de données (5) et à des moyens d'entrée (3) et de sortie (4) d'informations pour le pilotage des organes, caractérisé en ce qu'il comporte des moyens temporisés (9) de réinitialisation de l'ensemble à microprocesseur (1) et des moyens d'entrée (3) et de sortie (4), recevant un signal de réarmement émis périodiquement par l'ensemble à microprocesseur (1) lorsque celui-ci fonctionne normalement, de manière à provoquer une réinitialisation automatique de cet ensemble à microprocesseur (1) et des moyens d'entrée (3) et de sortie (4) en cas de dysfonctionnement de cet ensemble à microprocesseur, celui-ci n'émettant plus le signal de réarmement. 2. Système selon la revendication 1, caractérisé en ce que les moyens temporisés de réinitialisation comportent un module de chien de garde (10) associé à des moyens de temporisation (11) et relié en entrée à une sortie de signal de réarmement de l'ensemble à microprocesseur (1) et en sortie à une entrée de réinitialisation de cet ensemble (1) et des moyens d'entrée et de sortie (3,4). 3. Système selon la revendication 1 ou 2, caractérisé en ce que les moyens de temporisation (11) comprennent un circuit RC. 4. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que l'ensemble à microprocesseur (11) est adapté pour émettre un signal de réarmement à chaque fois qu'il débute le traitement d'une tâche périodique.