Brevet FR2790857A1 — publié le 20000915

La présente invention est relative à un système de sécurité pour véhicule automobile, propre à empêcher un calculateur défaillant de commander un actionneur d'une manière susceptible de mettre en danger les occupants du véhicule, dont la réalisation est particulièrement économique. Les véhicules automobiles actuels sont équipés de nombreux calculateurs de commande qui, en association avec les actionneurs qu'ils commandent, remplissent les fonctions les plus diverses, telles que gestion du moteur, commande de la boite de vitesse automatique, antiblocage des roues, contrôle d'accès, etc. Une défaillance de certains de ces calculateurs est susceptible d'entraîner une commande erronée d'un de leurs actionneurs associés pouvant conduire à des situations dangereuses pour les occupants du véhicule. On a donc tenté de renforcer la sûreté de fonctionnement de ces calculateurs par une gamme de moyens allant du simple " chien de garde " (watch dog) à la redondance multiple. On connaît de la technique antérieure, par exemple du document EP 0 322 141, un calculateur d'antiblocage des roues comportant un microprocesseur principal régissant la commande du dispositif de freinage et un microprocesseur secondaire dont le rôle est de surveiller le bon fonctionnement du microprocesseur principal. Cette surveillance s'effectue par un dialogue par lequel les microprocesseurs échangent cycliquement des données de contrôle. En cas de non-concordance, le microprocesseur secondaire agit sur un relais de sécurité qui empêche le microprocesseur principal de commander une réduction de la pression de freinage. Une structure analogue se rencontre également dans la pratique pour des calculateurs d'injection pour la commande de la pompe à carburant ou du papillon des gaz. Il est cependant à noter qu'une telle structure qui impose d'ajouter au calculateur un second microprocesseur, même moins performant et moins coûteux que le microprocesseur principal, conduit à une augmentation du coût de la fonction. La présente invention a donc pour but de proposer une architecture d'un système de sécurité pour véhicule automobile, qui tire parti de l'existence de multiples calculateurs dans un même véhicule, généralement reliés entre eux par un réseau de communication, pour obtenir un niveau de sécurité équivalent à moindre coût. On atteint ces buts de l'invention, ainsi que d'autres qui apparaîtront dans la suite de la présente description, avec un système de sécurité pour véhicule automobile, comportant une pluralité de calculateurs de commande reliés par un réseau de communication et pilotant respectivement des actionneurs régissant les fonctions du véhicule, au moins un dispositif de sécurité propre à placer l'un des actionneurs dans un état prédéterminé en cas de défaillance de son calculateur de commande associé, caractérisé en ce que le dispositif de sécurité est commandé par une fonction de surveillance assurée par un autre calculateur de commande du véhicule au moyen du réseau de communication. Suivant une caractéristique importante de la présente invention, la fonction de surveillance est constituée d'un module logiciel susceptible d'être intégré dans un quelconque calculateur de commande. Avantageusement, la fonction de surveillance émet sur le réseau de communication une requête de test destinée au calculateur à surveiller, contrôle l'occurrence et la concordance de la réponse de celui-ci à une réponse prédéterminée et en cas de non-réponse ou de réponse erronée, commande la mise en oeuvre du dispositif de sécurité. Selon un premier mode de réalisation du système de sécurité selon l'invention, la fonction de surveillance est constituée en outre d'une ligne de commande de sécurité reliant ledit calculateur de commande au dispositif de sécurité. Selon un second mode de réalisation, I'action du dispositif de sécurité consiste à mettre hors tension l'actionneur associé au calculateur défaillant et la commande dudit dispositif est effectuée par transmission d'un ordre de déconnexion de l'actionneur via le réseau de communication à un calculateur de gestion de l'alimentation électrique du véhicule. Avantageusement, dans ce mode de réalisation, plusieurs calculateurs du véhicule comportent une fonction de surveillance d'un ou plusieurs autres calculateurs et font réciproquement l'objet d'une surveillance exercée par un ou plusieurs des autres calculateurs du véhicule. D'autres caractéristiques et avantages du système suivant l'invention apparaîtront à la lecture de la description qui va suivre et à l'examen des dessins annexés dans lesquels: - la figure 1 représente un premier mode de réalisation dans lequel la commande du dispositif de sécurité est effectuée directement par le calculateur exerçant la fonction de surveillance, et la figure 2 représente un second mode de réalisation dans lequel la commande du dispositif de sécurité est effectuée par un calculateur de gestion d'alimentation sur un ordre transmis par le réseau de communication. On se réfère à la figure 1 sur laquelle on a représenté une pluralité de calculateurs de commande 10, 20, 30 équipant un véhicule automobile. A titre d'exemple, le calculateur 10 peut être un calculateur de commande d'un papillon des gaz motorisé représenté par l'actionneur 12, le calculateur 20 un calculateur de commande de boite de vitesse pilotant une ou plusieurs vannes hydrauliques, représentées par l'actionneur 22, permettant la sélection des rapports de transmission, le calculateur 30 un calculateur de contrôle du freinage, etc. Ces divers calculateurs sont classiquement constitués à partir d'un microprocesseur exécutant un programme inscrit dans une mémoire associée, ce programme définissant la fonction principale du calculateur, et comportent des interfaces d'entrée et de sortie permettant la lecture de données fournies par des capteurs (non représentés) ou la commande d'actionneurs associés. Ces calculateurs sont en outre reliés entre eux par un réseau de communication NW leur permettant d'échanger des informations, selon un protocole de communication prédéfini. De tels exemples de réseaux sont bien connus et font l'objet de diverses normes qu'il est inutile de détailler. Dans l'exemple de la figure 1, le calculateur 10 commande par l'intermédiaire d'une ligne de commande 11 un actionneur 12 tel qu'un moteur relié à l'axe du papillon des gaz d'un moteur à combustion interne d'un véhicule automobile. Cette commande peut s'effectuer par un signal de fréquence prédéterminée dont le rapport cyclique détermine l'angle d'ouverture désiré du papillon. On conçoit qu'en cas de défaillance du calculateur 10, une commande erronée entraînant la pleine ouverture du papillon puisse conduire à une situation dangereuse. Afin de prévenir une telle situation, on a interposé sur la ligne de commande 11 un dispositif de sécurité S représenté par un interrupteur commandé tel qu'un relais. Selon l'invention, ce dispositif de sécurité est maintenu dans une position permettant la commande de l'actionneur 12 (par exemple fermé) au moyen d'une commande générée par un autre calculateur que le calculateur 10, en l'occurrence ici le calculateur 20. A cet effet, le calculateur 20 exécute, outre sa fonction principale, représentée par un bloc 23, qui consiste à piloter son propre actionneur 22 pour par exemple gérer les rapports de transmission, une fonction de surveillance représentée par un bloc 24. Cette fonction de surveillance est indépendante de la fonction principale du calculateur 20. Elle est par exemple constituée par un sous programme ou module logiciel qui est exécuté avec une récurrence prédéterminée par le microprocesseur du calculateur 20. Lorsque le module logiciel est exécuté par le microprocesseur, il émet, via le réseau de communication NW, un message de test à destination du calculateur à surveiller, en l'occurrence le calculateur 10. Ce message comporte l'identifiant du calculateur à tester et une requête de test constituée d'un code du test à exécuter, par exemple une opération de calcul particulière ou une combinaison de telles opérations, ainsi qu'un jeu de données à employer pour ces opérations. Ce message est délivré au calculateur 10 dont le programme est prévu pour exécuter le test requis et retourner au calculateur émetteur le résultat du calcul demandé, toujours via le réseau de communication. Lorsque le message de réponse est reçu par le calculateur 20, le résultat qu'il contient est comparé à un résultat de référence. Ce résultat de référence peut être prédéterminé en fonction du code du test et des données fournies ou être calculé en parallèle par le calculateur 20. Si le résultat retourné par le calculateur testé diffère du résultat de référence, ou bien encore si aucun résultat n'est retourné dans un intervalle de temps prédéterminé suivant l'émission de la requête de test, le module logiciel conclut à une défaillance du calculateur testé et commande la mise en service du dispositif de sécurité S. A cette fin, dans un premier mode de réalisation représenté en figure 1, le calculateur 20 comporte une sortie reliée à une ligne de commande de sécurité 25, formant partie de la fonction de surveillance, connectée au dispositif de sécurité S. Avantageusement, cette ligne de commande de sécurité peut être standardisée pour fournir un signal ou un niveau de tension prédéterminé pour maintenir le dispositif de sécurité S hors service en présence de ce signal ou de ce niveau de tension. Par exemple, dans le cas o le dispositif de sécurité S est un relais de type normalement ouvert, la ligne 25 serait adaptée pour fournir, en l'absence de défaillance du calculateur surveillé, une tension d'alimentation normalisée de ce relais permettant de le maintenir fermé. Comme on l'a vu précédemment, le programme du calculateur 10, calculateur faisant l'objet de la surveillance, doit être adapté pour répondre à une requête de test reçue par l'intermédiaire du réseau de communication. Avantageusement, cette adaptation peut être incorporée dans le module logiciel de la fonction de surveillance. Cette disposition permet alors à tout calculateur comportant cette fonction de surveillance d'être à la fois surveillant eVt/ou surveillé. On peut ainsi, en incluant cette fonction de surveillance dès la conception des calculateurs, concevoir un système de sécurité permettant une surveillance croisée de tout ou partie des calculateurs montés sur un véhicule. Il suffit alors de programmer, pour chacun de ces calculateurs, dans une mémoire associée à la fonction de surveillance, I'identifiant du calculateur à surveiller, cette programmation pouvant être faite par exemple lors du montage du calculateur sur le véhicule, dans les usines du constructeur. Toutefois, dans la description qui précède, on a vu que les calculateurs incorporant la fonction de surveillance comportent encore une modification matérielle représentée par la ligne de commande de sécurité 25. Cette ligne de commande de sécurité peut représenter encore un surcoût, particulièrement lorsque le nombre de broches des connecteurs des calculateurs est compté. Dans l'exemple représenté à la figure 2, on tire parti de l'existence de plus en plus fréquente sur les véhicules, d'un calculateur 40 de gestion de l'alimentation électrique du véhicule. Ce calculateur qui a pour fonction principale de distribuer l'alimentation électrique aux différents consommateurs du bord, est lui aussi relié au réseau de communication NW. Lorsque le dispositif de sécurité S est conçu, comme on l'a vu plus haut, de telle sorte que l'interruption de son alimentation le mette en service, ou encore, lorsque l'actionneur (par exemple l'actionneur 22) lui-même est prévu pour qu'une absence d'alimentation le mette dans une position de sécurité, on peut avantageusement remplacer la ligne de commande de sécurité 25 par un message émis par un calculateur de surveillance, via le réseau de communication NW, à destination du calculateur 40 de gestion de l'alimentation, ordonnant à ce dernier d'interrompre l'alimentation de tel dispositif de sécurité ou de tel actionneur associé à un calculateur jugé défaillant. On se dispense ainsi du câblage des lignes de commande de sécurité associées à chaque calculateur, ce qui rend l'ensemble du système encore plus économique. Bien entendu, I'invention n'est pas limitée aux modes de réalisation décrits et représentés qui n'ont été donnés qu'à titre d'exemple. Une même fonction de surveillance peut être utilisée pour surveiller plus d'un calculateur, par exemple en émettant cycliquement des requêtes de test à chacun des calculateurs qu'elle est programmée pour surveiller. De même, un même calculateur peut faire l'objet de plusieurs fonctions de surveillance exercées chacune par un calculateur différent, afin d'améliorer la probabilité de détection d'une anomalie. De plus, les requêtes de test émises par une fonction de surveillance déterminée peuvent être variées et faire partie d'un jeu de requêtes destinées chacune à vérifier le bon fonctionnement d'une caractéristique particulière du calculateur testé. En outre, les deux modes de réalisation décrits ne sont pas mutuellement exclusifs. On peut ainsi envisager qu'une fonction de surveillance, hébergée par exemple dans un calculateur de commande de boite de vitesse, détecte une défaillance d'un calculateur de contrôle du moteur commandant d'une part un papillon électrique et d'autre part une pompe à carburant, et actionne un dispositif de sécurité refermant le papillon par l'intermédiaire d'une ligne de commande de sécurité tout en requérant via le réseau de communication, l'interruption de l'alimentation de la pompe auprès du calculateur de gestion d'alimentation 40. Par ailleurs, la fonction de surveillance peut avantageusement tirer parti du réseau de communication pour émettre à destination d'un calculateur gérant le tableau de bord un ordre d'allumage d'un voyant de signalisation de défaut pour l'information du conducteur. Naturellement, un tel système de sécurité tirerait avantageusement parti des développements actuels en matière de normalisation des réseaux de communication embarqués et des systèmes d'exploitation des calculateurs. Ainsi, la normalisation d'une fonction de surveillance telle que décrite ci-dessus permettrait, quelle que soit l'origine et la fonction principale des différents calculateurs électroniques installés dans un véhicule, d'améliorer grandement la sûreté de fonctionnement de celui-ci. REVENDICATIONS 1. Système de sécurité pour véhicule automobile, comportant une pluralité de calculateurs de commande (10; 20; 30) reliés par un réseau de communication (NW) et pilotant respectivement des actionneurs (12; 22) régissant les fonctions du véhicule, au moins un dispositif de sécurité (S) propre à placer l'un des actionneurs dans un état prédéterminé en cas de défaillance de son calculateur de commande associé, caractérisé en ce que le dispositif de sécurité est commandé par une fonction de surveillance (24) assurée par un autre calculateur de commande du véhicule au moyen du réseau de communication. 2. Système de sécurité selon la revendication 1, caractérisé en ce que la fonction de surveillance est constituée d'un module logiciel standardisé susceptible d'être intégré dans un quelconque calculateur de commande. 3. Système de sécurité selon la revendication 2, caractérisé en ce que la fonction de surveillance est constituée en outre d'une ligne de commande de sécurité (25) reliant ledit calculateur de commande au dispositif de sécurité. 4. Système de sécurité selon la revendication 1 ou 2, caractérisé en ce que la fonction de surveillance émet sur le réseau de communication une requête de test destinée au calculateur à surveiller, contrôle l'occurrence et la concordance de la réponse de celui-ci à une réponse prédéterminée et en cas de non réponse ou de réponse erronée, commande la mise en oeuvre du dispositif de sécurité. 5. Système de sécurité selon la revendication 1 ou 2, caractérisé en ce que l'action du dispositif de sécurité consiste à mettre hors tension l'actionneur associé au calculateur défaillant et en ce que la commande dudit dispositif est effectuée par transmission d'un ordre de déconnexion de l'actionneur via le réseau de communication à un calculateur (40) de gestion de l'alimentation électrique du véhicule. 6. Système de sécurité selon la revendication 5, caractérisé en ce que plusieurs calculateurs du véhicule comportent une fonction de surveillance d'un ou plusieurs autres calculateurs et font réciproquement l'objet d'une surveillance exercée par un ou plusieurs des autres calculateurs du véhicule.