Brevet FR2820518A1 — publié le 20020809

La présente invention concerne un procédé permettant de contrôler l'état d'un organe de sécurité. La présente invention trouve son application dans une architecture gérée par un calculateur et dans laquelle une action ne peut être commandée que si un organe de sécurité se trouve dans un état donné. Ce type d'architecture est très fréquent pour des machines industrielles, dans le domaine de la domotique, dans le domaine automobile, etc.... Un exemple d'application d'une telle architecture est le dispositif de commande d'un démarreur d'un véhicule automobile. Le démarreur ne peut être actionné que lorsqu'un verrou de colonne de direction (organe de sécurité) est dans son état déverrouillé. Il faut impérativement éviter de mettre le moteur du véhicule en marche alors que la colonne de direction est bloquée. Dans un véhicule automobile, l'état du verrou de la colonne de direction est généralement contrôlé par un premier calculateur. Ce dernier contrôle également l'état d'autres organes dans l'habitacle du véhicule tels par exemple le frein à main ou les commandes de l'allumage des feux. Un second calculateur est destiné à gérer les fonctions réalisées sous le capot moteur. Le démarreur reçoit ses ordres de mise en marche de ce second calculateur. Une liaison par bus CAN est réalisée entre les deux calculateurs. Avant donc de commander le démarreur, le second calculateur doit vérifier l'état déverrouillé du verrou de colonne. Il interroge alors le premier calculateur qui le renseigne sur cet état. En fonction de la réponse obtenue, le second calculateur commande ou non la mise en marche du démarreur. En cas de panne partielle du premier calculateur l'amenant à ne pas vérifier l'état du verrou de colonne, une commande de démarrage peut être envoyée sans que la colonne de direction ne soit débloquée. Ainsi une seule erreur du système peut entraîner une défaillance. Pour résoudre ce problème, le second calculateur doit être capable de contrôler l'état du verrou de colonne. Le second calculateur peut utiliser le premier calculateur comme passerelle de communication. Toutefois, en cas de défaillance du premier calculateur, une information erronée peut être renvoyée au second calculateur. L'utilisation d'une telle passerelle améliore la fiabilité du système mais insuffisamment. Une solution consiste alors à créer une liaison directe entre le second calculateur et le verrou de colonne de direction. Ainsi, la sécurité du système est doublée puisque le second calculateur reçoit l'information sur l'état du verrou de colonne par deux chemins indépendants. La fiabilité de cette solution est satisfaisante mais le coût de celle-ci est élevé car il impose de réaliser un nouveau câblage entre le second calculateur et l'organe de sécurité. Dans un véhicule automobile, un tel câblage n'est pas seulement à prévoir avec le verrou de colonne mais avec également d'autres organes de sécurité. La présente invention a alors pour but de fournir un procédé qui permette de manière fiable de contrôler l'état d'un organe de sécurité sans toutefois nécessiter un câblage direct supplémentaire. A cet effet, elle propose un procédé de contrôle de l'état d'un organe de sécurité par un calculateur dans lequel un premier calculateur est relié à l'organe de sécurité et dans lequel un second calculateur destiné à commander un actionneur interroge préalablement à toute commande de mise en marche et/ou d'arrêt de l'actionneur le premier calculateur sur l'état de l'organe de sécurité. Selon l'invention, le second calculateur interroge directement l'état de l'organe de sécurité en envoyant un message crypté, le premier calculateur retransmet dans un sens la question du second calculateur à l'organe de sécurité et dans le sens opposé la réponse de ce dernier et le second calculateur vérifie la cohérence de la réponse reçue, le code de cryptage étant connu du second calculateur et de l'organe de sécurité, ce code de cryptage n'étant pas connu du premier calculateur. De cette manière, le premier calculateur est appelé à servir uniquement de boîte aux lettres sans être directement interrogé. Ceci permet de passer par le premier calculateur sans avoir à établir une ligne directe entre le second calculateur et l'organe de sécurité tout en assurant une transmission fiable d'informations. Dans ce procédé selon l'invention, on peut prévoir que le second calculateur génère un nombre aléatoire, que la transmission de ce nombre vers l'organe de sécurité via le premier calculateur constitue la question et que la réponse envoyée dépend du nombre transmis selon un algorithme prédéterminé correspondant au code de cryptage. Pour une bonne liaison entre les calculateurs, ceux-ci sont par exemple reliés entre eux par un bus, par exemple de type CAN. Une liaison série peut aussi être envisagée. Le second calculateur est par exemple relié à l'organe de sécurité par un bus, par exemple de type CAN. Ce type de liaison est couramment utilisé dans le domaine automobile et sa mise en oeuvre est parfaitement maîtrisée. Le procédé selon l'invention peut être appliqué au cas o l'organe de sécurité est un verrou de colonne de direction dans une automobile et o l'actionneur est un démarreur. L'unique figure représente très schématiquement une architecture pour la commande d'un démarreur de véhicule automobile en fonction de l'état d'un verrou de colorine de direction de cette automobile. Sur cette unique figure, il est schématiquement représenté comment un démarreur 2 est actionné en fonction de l'état d'un verrou 4 de colonne de direction dans un véhicule automobile. L'état du verrou 4 de colonne de direction est contrôlé par un premier calculateur 6 auquel le verrou 4 est relié par un bus CAN 8. Ce premier calculateur 6 est relié par l'intermédiaire d'un second bus CAN 10 à un second calculateur 12. Ce dernier est destiné à envoyer des ordres de fonctionnement au démarreur 2. Le premier calculateur est un calculateur destiné à contrôler l'état de manettes de commande et autres organes se trouvant dans l'habitacle de I'automobile. Le second calculateur 12 est ici une unité électronique destinée à gérer le fonctionnement du moteur et des accessoires de ce moteur. Le démarreur 2 ne doit pas être actionné tant que le verrou 4 de colonne n'est pas en position déverrouillée. En effet, si le démarreur met en route le véhicule alors que le verrou 4 bloque la colonne de direction du véhicule, I'automobile peut se mettre à rouler et il ne sera pas possible de la diriger. Ceci est donc source d'accident. L'état, verrouillé ou déverrouillé, du verrou 4 est contrôlé par le premier calculateur 6. Avant d'envoyer un ordre de mise en marche au démarreur 2, le second calculateur 12 interroge alors le premier calculateur 6 afin de savoir dans quel état se trouve le verrou 4. Le second calculateur obtient ainsi une première information sur l'état du verrou 4. Pour plus de sécurité, il est préférable que le second calculateur 12 obtienne une information sur l'état du verrou 4 par un autre biais. En effet, en cas de dysfonctionnement du premier calculateur 6 I'amenant à ne pas vérifier l'état du verrou de colonne, le second calculateur 12 risque de recevoir une information erronée lorsqu'il interroge le premier calculateur 6. De manière originale, dans le cas présent, le second calculateur envoie un message crypté au verrou 4. Ce message crypté passe par le second bus 10, le premier calculateur 6 et le premier bus 8. Le verrou qui reçoit ce message crypté envoie une réponse cryptée également. Cette dernière est acheminée vers le second calculateur 12 par le chemin inverse de celui de la question. Le message crypté envoyé par le second calculateur est de préférence aléatoire. La réponse envoyée par le verrou est déterminée par un algorithme en fonction de la question reçue. On peut par exemple supposer que le second calculateur 12 génère un nombre aléatoire. Il est convenu que la réponse envoyée par le verrou 4 lorsqu'il reçoit le nombre émis par le second calculateur 12, correspond au double de ce nombre lorsque le verrou est dans son état verrouillé et au triple de ce nombre lorsqu'il se trouve en position déverrouillée. L'algorithme permettant d'obtenir la réponse en fonction de la question n'est connu que du verrou 4 et du second calculateur 12. Il est inconnu du premier calculateur 6. Le message crypté qui correspond à la question envoyée par le second calculateur 12 est de préférence aléatoire car si le premier calculateur 6, défaillant, devait avoir mémorisé une réponse et qu'il transmette celle-ci au second calculateur 12 lors d'un échange de données, il est préférable que cette réponse enregistrée ne soit pas cohérente avec la question posée. Le second calculateur 12, lorsqu'il reçoit la réponse du verrou 4, vérifie que cette réponse est cohérente d'une part avec la question posée et d'autre part avec la réponse qu'il a reçue du premier calculateur 6. Si les deux réponses concordent et indiquent que le verrou 4 est déverrouillé, une commande de mise en marche du démarreur est envoyée à ce dernier. De cette manière, le second calculateur peut interroger directement l'état du verrou 4 sans qu'il soit nécessaire de relier directement ce verrou 4 au second calculateur 12. Les mêmes lignes 8, 10 de communication sont utilisées pour interroger par deux voies différentes l'état du verrou 4. Le fait d'interroger l'état du verrou par deux voies distinctes ne demande donc pas la présence de deux lignes matérielles distinctes. Une plus grande sécurité peut alors être obtenue sans modifier les moyens matériels mis en oeuvre. La présente invention ne se limite pas à la forme de réalisation décrite ci-dessus à titre d'exemple non limitatif ni à son application au domaine automobile. Cette invention s'étend également aux modifications à la portée de l'homme du métier dans le cadre des revendications ci-après. Ainsi, l'invention peut être généralisée à un procédé permettant de contrôler l'état d'un organe de sécurité. Dans l'exemple ci-dessus, I'organe de sécurité est le verrou de colonne de direction. D'autres applications peuvent être trouvées, tant dans le domaine automobile (commande d'un coussin gonflable de sécurité par exemple) ou dans d'autres domaines industriels tels la domotique par exemple. REVENDICATIONS 1. Procédé de contrôle de l'état d'un organe de sécurité (4) par un calculateur (12) dans lequel un premier calculateur (6) est relié à l'organe de sécurité (4) et dans lequel un second calculateur (12) destiné à commander un actionneur (2) interroge préalablement à toute commande de mise en marche ettou d'arrêt de l'actionneur (2) le premier calculateur (6) sur l'état de l'organe de sécurité (4), caractérisé en ce que le second calculateur (12) interroge directement l'état de l'organe de sécurité (4) en envoyant un message crypté, en ce que le premier calculateur (6) retransmet dans un sens la question du second calculateur (12) à l'organe de sécurité (4) et dans le sens opposé la réponse de ce dernier, en ce que le second calculateur (12) vérifie la cohérence de la réponse reçue et en ce que le code de cryptage est connu du second calculateur (12) et de l'organe de sécurité (4) mais est inconnu du premier calculateur (6). 2. Procédé selon la revendication 1, caractérisé en ce que le second calculateur (12) génère un nombre aléatoire, en ce que la transmission de ce nombre vers l'organe de sécurité via le premier calculateur (6) constitue la question et en ce que la réponse envoyée dépend du nombre transmis selon un algorithme prédéterminé correspondant au code de cryptage. 3. Procédé selon l'une des revendications 1 ou 2, caractérisé en ce que les deux calculateurs (6, 12) sont reliés entre eux par un bus (10), par exemple de type CAN. 4. Procédé selon l'une des revendications 1 à 3, caractérisé en ce que le second calculateur (12) est relié à l'organe de sécurité (4) par un bus (8), par exemple de type CAN. 5. Procédé selon l'une des revendications 1 à 4, caractérisé en ce que l'organe de sécurité est un verrou (4) de colonne de direction dans une automobile et en ce que l'actionneur est un démarreur (2).