Brevet FR2772954A1 — publié le 19990625

L'invention concerne un agencement de circuit pour la transmission de signaux entre un dispositif de commande et au moins deux lignes de données, notamment dans un véhicule automobile, dans lequel le dispositif de commande est relié aux deux lignes de données par l'intermédiaire d'une interface. L'invention concerne également un procédé pour la transmission de données entre un dispositif de commande et deux lignes de données, notamment dans un véhicule automobile. Pour la transmission de données, notamment dans un véhicule automobile, on utilise un bus de données, par exemple un bus CAN par l'intermédiaire duquel plusieurs dispositifs de commande échangent des données entre eux. L'article "Kommunication im Automobil", Perier et autres, Elektronik 4, 1997, pages 48 et suivantes, décrit un réseau à bus CAN typique. Deux parties de réseau comportant des débits de données différents sont reliées entre elles par l'intermédiaire d'un point d'accès. Des dispositifs de commande du blocage de conduite, du verrouillage et de l'éclairage et des dispositifs de commande de la radio, du téléphone et des témoins sont raccordés au réseau comportant le débit de données la plus basse. Toutefois, de cette manière, des dispositifs de commande correspondant à des données critiques pour la sécurité, tels que par exemple le blocage de conduite, et des dispositifs de commande correspondant à des données relativement peu importantes, tels que par exemple la commande du rétroviseur extérieur, sont raccordés à un bus de données commun. La multiplicité des dispositifs de commande raccordés entraîne une augmentation de la probabilité que des données erronées soient transmises sur le bus de données et qu'un bus de données soit endommagé et entraîne ainsi un fonctionnement défectueux de ce bus de données. L'invention a pour but d'accroître la sécurité de la transmission de données entre des dispositifs de commande. Elle a en outre pour but d'assurer un échange correct de données entre deux dispositifs de commande, même si l'échange de données avec un troisième dispositif de commande fait l'objet d'une perturbation. A cet effet, l'invention a pour objet un agencement de circuit, du type défini en introduction, caractérisé en ce que, dans une ligne de données, il est prévu une unité d'interruption qui est reliée au dispositif de commande et en ce qu'après avoir reçu du dispositif de commande un signal d'interruption, l'unité d'interruption interrompt la liaison de données entre le dispositif de commande et la ligne de données. L'invention a aussi pour objet un procédé, du type défini en introduction, caractérisé en ce qu'en fonction d'une situation préfixée de fonctionnement, des données ne sont échangées qu'avec l'une des deux lignes de données. Un avantage essentiel de l'invention réside dans le fait qu'un dispositif de commande surveille la liaison de données avec un deuxième dispositif de commande et, en cas de défaut de fonctionnement, interrompt la liaison de données avec le deuxième dispositif de commande. Il est particulièrement avantageux que, dans le cas d'un défaut de fonctionnement, le deuxième dispositif de commande soit découplé du bus de données et qu'ainsi la transmission de données avec d'autres dispositifs de commande par l'intermédiaire du bus de données ne soit pas perturbée. Il est en outre avantageux que le dispositif de commande ne transmette des données critiques en ce qui concerne la sécurité qu'aux dispositifs de commande qui doivent impérativement recevoir les données, de sorte que le risque que les données critiques en ce qui concerne la sécurité soient utilisées frauduleusement est réduit. L'agencement de circuit conforme à l'invention peut aussi présenter une ou plusieurs des particularités suivantes: - préalablement à l'envoi de signaux préfixés, notamment préalablement à l'envoi de signaux critiques en ce qui concerne la sécurité, le dispositif de commande met l'unité d'interruption hors circuit, - le dispositif de commande est relié par une sortie à la première ligne de données par l'intermédiaire d'une première interface et à la seconde ligne de données par l'intermédiaire d'une seconde interface, une entrée du dispositif de commande est reliée à des sorties des interfaces par l'intermédiaire d'un élément de commutation et il est prévu, disposée entre la sortie du dispositif de commande et la seconde ligne de données, une unité d'interruption qui, après avoir reçu un signal d'interruption, interrompt la liaison entre le dispositif de commande et la seconde ligne de données, - une unité de surveillance est reliée à une ligne de données et l'unité de surveillance contrôle les signaux qui sont transmis par l'intermédiaire de la ligne de données et, lorsqu'un défaut de fonctionnement est constaté, délivre un signal d'erreur au dispositif de commande qui ouvre de préférence l'unité d'interruption qui est disposée dans la ligne de données surveillée, - la première et la seconde lignes de données sont raccordées chacune à un autre dispositif de commande respectif, - un deuxième dispositif de commande, qui est raccordé à la seconde ligne de données, est disposé en un emplacement, facilement accessible dans le véhicule, qui peut facilement faire l'objet d'un endommagement, notamment sous l'effet d'un accident, - les lignes de données sont réalisées sous forme de bus de données. Le procédé conforme à l'invention peut aussi présenter une ou plusieurs des particularités suivantes: - les lignes de données sont surveillées et, en cas de perturbation de la transmission de données sur une ligne de données, l'échange de données sur la ligne de données objet de la perturbation est interrompu, - des données critiques en ce qui concerne la sécurité ne sont transmises que sur la ligne de données à laquelle est raccordé le premier dispositif de commande avec lequel les données critiques en ce qui concerne la sécurité doivent être échangées, - un message de données est transmis sur une première ligne de données, le message de données comporte un bit de confidentialité, le dispositif de commande analyse le message de données, il est prévu des moyens qui relient la première ligne de données à la seconde ligne de données et le dispositif de commande interrompt la transmission du message de données sur la seconde ligne de données lorsque le bit de confidentialité présente une valeur préfixée. L'invention est exposée ci-après en détail en regard des figures; on voit: à la figure 1, un bus de données, à la figure 2, un premier agencement de circuit comportant deux bus de données parallèles, à la figure 3, un agencement de circuit comportant une unité de surveillance, à la figure 4, un quatrième dispositif de commande 6 comportant deux interfaces et, à la figure 5, un quatrième dispositif de commande 6 comportant un interrupteur. La figure 1 représente schématiquement un premier bus de données 2, d'un véhicule automobile, au moyen duquel un cinquième dispositif de commande 1 est relié à un premier, un troisième et un quatrième dispositifs de commande 3, 5, 6. Un second dispositif de commande 4 est relié au quatrième dispositif de commande 6 par l'intermédiaire d'un second bus de données 21. Le premier dispositif de commande 3 est relié au moteur d'une serrure de porte 7 et une unité 8 de constatation d'entrée dans le véhicule. Le deuxième dispositif de commande 4 est relié à un moteur 9 associé à un rétroviseur extérieur du véhicule. Le troisième dispositif de commande 5 est raccordé à un moteur de lève- vitre 10 d'une vitre de véhicule. Le quatrième dispositif de commande 6 est relié à des commutateurs 11 au moyen desquels les positions du lève-vitre, du rétroviseur extérieur, du siège de conducteur et du siège de passager sont par exemple commandées par le conducteur. Ce quatrième dispositif de commande 6 transmet les positions commandées aux dispositifs de commande 3, 4, 5 associés qui commandent d'une manière correspondante le lève-vitre, le rétroviseur extérieur, le siège de conducteur et le siège de passager. En fonction des données que le cinquième dispositif de commande 1 ou le quatrième dispositif de commande 6 envoie aux autres dispositifs de commande 3, 5, 6 par l'intermédiaire du bus de données 2 ou du second bus de données 21, ces autres dispositifs de commande 3, 4, 5, 6 commandent les organes de réglage associés qui, dans cet exemple de mise en oeuvre, sont réalisés sous forme du moteur de serrure de porte 7, du moteur de rétroviseur 9 et du moteur de lève-vitre 10. L'unité 8 de constatation d'entrée dans le véhicule échange avec une carte à puce, par exemple sans contact, par l'intermédiaire d'un système émetteur/récepteur, des données de sécurité qui sont transmises au cinquième dispositif de commande 1 par l'intermédiaire du premier 3 des autres dispositifs de commande. La carte à puce est portée par une personne qui s'approche du véhicule et veut monter dans celui-ci. Le cinquième dispositif de commande 1 compare les données de sécurité qui lui sont envoyées à des données de référence rangées en mémoire et constate ainsi si une entrée dans le véhicule doit être autorisée. Si les données de sécurité de la carte à puce coïncident avec les données de référence en mémoire, le cinquième dispositif de commande 1 donne au premier 3 des autres dispositifs de commande l'ordre de commander le moteur de serrure de porte 7 et donc de déverrouiller les portes du véhicule et de libérer le dispositif de blocage de conduite, afin qu'il soit possible de mettre le véhicule en marche. La figure 2 représente une première forme de mise en oeuvre de l'invention, qui est simple, dans laquelle le cinquième dispositif de commande 1 est relié au premier dispositif de commande 3 par l'intermédiaire d'un premier bus de données 2 et au deuxième dispositif de commande 4 par l'intermédiaire d'un second bus de données 21. Le cinquième dispositif de commande 1 comprend un microprocesseur 12 qui est relié à une première interface par l'intermédiaire d'une sortie de données 13 et d'une entrée de données 14. La première interface 15 est reliée, par une première sortie, directement au premier bus de données 2 et, par l'intermédiaire d'une première unité d'interruption 17, au second bus de données 21. Cette première unité d'interruption 17 est en outre raccordée au microprocesseur 12 par l'intermédiaire d'une ligne de commande 18. Le microprocesseur 12 envoie des données au premier 3 et au deuxième 4 des autres dispositifs de commande et en reçoit de ceux-ci. En fonction de situations de fonctionnement préfixées, le microprocesseur 12 ouvre le premier élément d'interruption 17 et interrompt ainsi la liaison de données entre le microprocesseur 12 et le second bus de données 21. Le microprocesseur 12 interrompt de préférence la liaison vers le second bus de données 21 lorsque des données préfixées, notamment des données critiques en ce qui concerne la sécurité, sont délivrées par l'intermédiaire du premier bus de données 2. Cela est particulièrement avantageux lorsque par exemple le second bus de données 21 peut être écouté plus facilement ou que la liaison de ce second bus de données 21 peut plus facilement être endommagée. Cette manière de procéder est notamment utilisée dans l'exemple de mise en oeuvre exposé, étant donné que le deuxième dispositif de commande 4 est intégré dans le rétroviseur extérieur et est donc facilement accessible de l'extérieur et qu'ainsi des données critiques en ce qui concerne la sécurité peuvent facilement être écoutées par l'intermédiaire de ce deuxième dispositif de commande 4. Le cinquième dispositif de commande 1 ouvre également l'élément d'interruption 17 lorsque l'échange de données avec le deuxième dispositif de commande 4 fait l'objet d'une perturbation. A cet effet, le microprocesseur 12 surveille si des données erronées sont ou non envoyées par l'interface 15. Si tel est le cas, le microprocesseur 12 ouvre alors d'abord l'unité d'interruption 17 et contrôle en outre les données envoyées. Si, même lorsque l'unité d'interruption 17 est ouverte, des données erronées sont envoyées, l'échange de données par l'intermédiaire du premier bus de données est alors erroné. Il en résulte que le microprocesseur 12 met fin à l'échange de données avec le premier dispositif de commande 3. Si le microprocesseur 12 constate que, l'unité d'interruption 17 étant ouverte, des données correctes sont de nouveau reçues, c'est un fonctionnement de secours, dans lequel des données ne sont transmises que par l'intermédiaire du premier bus de données 2, qui est exécuté. De cette manière, malgré la transmission erronée de données par l'intermédiaire du second bus de données 21, un échange de données correct est par ailleurs possible sur le premier bus de données 2. La figure 3 représente une seconde forme de mise en oeuvre de l'invention dans laquelle le microprocesseur 12 est relié par une sortie de données 13 à une première interface 15 et à une seconde unité d'interruption 22. La première interface 15 est raccordée au premier bus de données 2. La seconde unité d'interruption 22 est raccordée à une seconde interface 27 qui est elle-même raccordée au second bus de données 21. Une première unité d'interruption 17 est de préférence disposée entre la seconde interface 27 et le second 4 des autres dispositifs de commande. Il est en outre prévu une unité de surveillance 23 qui est reliée au second bus de données 21. Le microprocesseur 12 est relié par l'intermédiaire de lignes de données et de commande 24 à la seconde unité d'interruption 22, à la seconde interface 27, à l'unité de surveillance 23 et à la première unité d'interruption 17. Le microprocesseur 12 est en outre raccordé, par une entrée de données 14, à un élément de commutation 20 qui est réalisé sous forme d'un circuit logique OU. Les deux entrées de l'élément de commutation 20 sont reliées à une sortie de la première interface 15 par une seconde ligne de retour 26 et à une sortie de la seconde interface 27 par une première ligne de retour 25. Dans cet exemple de mise en oeuvre, il n'est décrit qu'une seconde unité d'interruption 22 au moyen de laquelle un second bus de données 21 peut être mis hors circuit. Il peut toutefois être aussi prévu plusieurs secondes unités d'interruption 22 auxquelles le dispositif de commande 12 est relié et au moyen desquelles plusieurs bus de données peuvent être mis hors circuit. Dans une configuration de base, le microprocesseur 12 commande simultanément la première et la seconde interfaces , 27 et transmet les mêmes informations par la sortie de données 13 au premier et au second bus de données 2, 21. La première unité d'interruption 17 et la seconde unité d'interruption 22 sont alors l'une et l'autre fermées, de sorte que les données sont transmises au premier 3 et au deuxième 4 des autres dispositifs de commande. Si l'unité de surveillance 23 constate un fonctionnement défectueux de la transmission de données sur le second bus de données 21, le dispositif de commande 12 ouvre alors la première ou la seconde unité d'interruption 17, 22 et interrompt ainsi l'envoi de données sur le second bus de données 21. L'unité de surveillance 23 est raccordée au second bus de données 21 soit entre la seconde interface 27 et la première unité d'interruption 17, soit entre cette première unité d'interruption 17 et le deuxième 4 des autres dispositifs de commande. Dans une réalisation simple, il n'est prévu qu'un seul élément d'interruption 17, 22. La figure 4 représente un autre agencement de circuit qui correspond à la structure de bus de données de la figure 1, mais dans lequel le quatrième dispositif de commande 6 est agencé d'une manière correspondant au cinquième dispositif de commande 1 de la figure 3. Le quatrième dispositif de commande 6 a en supplément pour rôle de ne pas transmettre au second bus de données 21 des données critiques en ce qui concerne la sécurité qui sont délivrées par le cinquième dispositif de commande 1 sur le premier bus de données. A cet effet, préalablement à la délivrance des données critiques, le cinquième dispositif de commande 1 fournit sur le premier bus de données 2 une information qui indique au quatrième dispositif de commande 6 que les données qui suivent ne doivent pas être transmises au second bus de données. Après réception de cette information, le quatrième dispositif de commande 6 ouvre la seconde unité d'interruption, de sorte que les données qui suivent ne sont pas transmises au second bus de données 21. La figure 5 représente un quatrième dispositif de commande 6 qui est agencé d'une manière correspondant au cinquième dispositif de commande 1 de la figure 2, une interface 15 étant prévue et le premier bus de données 2 étant relié par l'intermédiaire d'une première unité d'interruption 17 au second bus de données. Dans cet agencement aussi, le quatrième dispositif de commande 6 surveille la transmission au deuxième dispositif de commande 4 des données délivrées par le cinquième dispositif de commande 1. Si des données ne doivent pas être transmises au deuxième dispositif de commande 4, le quatrième dispositif de commande 6 ouvre alors la première unité d'interruption 17. De préférence, le cinquième dispositif de commande envoie un message de données qui comporte à son début un bit de confidentialité que suivent les données utiles au moyen desquelles des informations sont transmises. Le bit de confidentialité est porté par le cinquième dispositif de commande 1 à une valeur préfixée lorsque les données contenues ne doivent pas être transmises au second bus de données. Le quatrième dispositif de commande 6 analyse le message de données et met hors circuit la première et/ou la seconde unité d'interruption 17, 22 lorsque le bit de confidentialité a la valeur préfixée. Cela permet d'empêcher d'une manière simple que par exemple des données critiques en ce qui concerne la sécurité soient transmises au second bus de données 21. Un avantage de l'invention réside dans le fait que le dispositif de commande 12 peut interrompre l'alimentation en courant de la seconde interface 27 sur les lignes de données et de commande 24, afin de faire l'économie d'un courant au repos, ce qui est par exemple avantageux dans un véhicule à l'arrêt. De préférence, seule l'alimentation en courant de la première interface 15 est alors maintenue et, ainsi, seul est maintenu l'échange de données sur le premier bus de données 2 qui est relié au premier dispositif de commande 3 au moyen duquel l'unité 8 de constatation d'entrée dans le véhicule est commandée. En premier lieu, cette commutation de repos permet de recevoir l'indication d'une entrée dans le véhicule et de faire en outre une économie de courant. Si une personne devait alors être reconnue par l'unité de constatation d'entrée 8 comme étant habilitée à monter dans le véhicule, le microprocesseur 12 commute alors le second bus de données 21 soit sur la première, soit sur la seconde unité d'interruption 17, 22, de sorte que d'autres fonctions du véhicule, telles que par exemple le réglage du rétroviseur extérieur, peuvent être de nouveau remplies. Il est en second lieu avantageux que le second bus de données 21 soit hors circuit lors de la transmission de données critiques pour la sécurité. Cela est notamment avantageux lors du contrôle d'une identification d'accès. Ainsi, une écoute frauduleuse du second bus de données 21, l'introduction frauduleuse d'un message de données ou une perturbation de la communication de données sur le second bus de données 21 est empêchée. De cette manière, la transmission de l'information d'accès et la transmission d'une information d'habilitation de conduite sont protégées d'une écoute frauduleuse. L'invention est en principe indépendante de la réalisation matérielle de la communication par bus. C'est ainsi que le premier et le second bus de données 2, 21 peuvent être réalisés au moyen d'un câble, d'un guide d'ondes lumineuses ou d'une transmission radio ou par ultrasons. REVEND I CATIONS 1. Agencement de circuit pour la transmission de signaux entre un dispositif de commande (1) et au moins deux lignes de données (2, 21), notamment dans un véhicule automobile, dans lequel le dispositif de commande (1) est relié aux deux lignes de données par l'intermédiaire d'une interface (15), caractérisé en ce que, dans une ligne de données (21), il est prévu une unité d'interruption (17) qui est reliée au dispositif de commande (1, 6) et en ce qu'après avoir reçu du dispositif de commande (1, 6) un signal d'interruption, l'unité d'interruption (17) interrompt la liaison de données entre le dispositif de commande et la ligne de données (21). 2. Agencement de circuit suivant la revendication 1, caractérisé en ce que, préalablement à l'envoi de signaux préfixés, notamment préalablement à l'envoi de signaux critiques en ce qui concerne la sécurité, le dispositif de commande (1, 6) met l'unité d'interruption (17) hors circuit. 3. Agencement de circuit suivant la revendication 1, caractérisé en ce que le dispositif de commande (1, 6) est relié par une sortie à la première ligne de données (2) par l'intermédiaire d'une première interface (15) et à la seconde ligne de données (21) par l'intermédiaire d'une seconde interface (27), en ce qu'une entrée du dispositif de commande (1, 6) est reliée à des sorties des interfaces (15, 27) par l'intermédiaire d'un élément de commutation (20) et en ce qu'il est prévu, disposée entre la sortie du dispositif de commande (1, 6) et la seconde ligne de données, une unité d'interruption (22,17) qui, après avoir reçu un signal d'interruption, interrompt la liaison entre le dispositif de commande (1, 6) et la seconde ligne de données (21). 4. Agencement de circuit suivant la revendication 1 ou 3, caractérisé en ce qu'une unité de surveillance (23) est reliée à une ligne de données (21) et en ce que l'unité de surveillance contrôle les signaux qui sont transmis par l'intermédiaire de la ligne de données (21) et, lorsqu'un défaut de fonctionnement est constaté, délivre un signal d'erreur au dispositif de commande (1) qui ouvre de préférence l'unité d'interruption (17, 22) qui est disposée dans la ligne de données (21) surveillée. 5. Agencement de circuit suivant la revendication 1, caractérisé en ce que la première et la seconde lignes de données sont raccordées chacune à un autre dispositif de commande (3, 4, 5) respectif. 6. Agencement de circuit suivant la revendication 5, caractérisé en ce qu'un deuxième dispositif de commande (4), qui est raccordé à la seconde ligne de données (21), est disposé en un emplacement, facilement accessible dans le véhicule, qui peut facilement faire l'objet d'un endommagement, notamment sous l'effet d'un accident. 7. Agencement de circuit suivant la revendication 1, caractérisé en ce que les lignes de données (2, 21) sont réalisées sous forme de bus de données. 8. Procédé pour la transmission de données entre un dispositif de commande (1, 6) et deux lignes de données (2, 21), notamment dans un véhicule automobile, caractérisé en ce qu'en fonction d'une situation préfixée de fonctionnement, des données ne sont échangées qu'avec l'une des deux lignes de données (2, 21). 9. Procédé suivant la revendication 8, caractérisé en ce que les lignes de données (2, 21) sont surveillées et, en ce qu'en cas de perturbation de la transmission de données (2, 21) sur une ligne de données (21), l'échange de données sur la ligne de données (21) objet de la perturbation est interrompu. 10. Procédé suivant la revendication 8, caractérisé en ce que des données critiques en ce qui concerne la sécurité ne sont transmises que sur la ligne de données (2) à laquelle est raccordé le premier dispositif de commande (3) avec lequel les données critiques en ce qui concerne la sécurité doivent être échangées. 11. Procédé suivant la revendication 8, caractérisé en ce qu'un message de données est transmis sur une première ligne de données (2), en ce que le message de données comporte un bit de confidentialité, en ce que le dispositif de commande (6) analyse le message de données, en ce qu'il est prévu des moyens (17) qui relient la première ligne de données (2) à la seconde ligne de données (21) et en ce que le dispositif de commande (6) interrompt (17) la transmission du message de données sur la seconde ligne de données lorsque le bit de confidentialité présente une valeur préfixée.