Brevet FR2822562A1 — publié le 20020927

microprocesseur dans une phase démulation. Etat de la technique La présente invention concerne un procédé et un dispositif de surveillance des données et de la transmission des données entre au moins une première et une seconde unité de commande, selon lequel au s moins les deux unités de commande ont un premier plan de programmes auquel sont associés les programmes qui calculent la fonction de com mande ainsi qu'un second plan de programmes avec les programmes sur veillant le bon fonctionnement des programmes dans le premier plan de programmes, la première unité de commande étant relice à au moins un o composant servant à la saisie de données, notamment des grandeurs de commande. Un tel procédé ou un tel dispositif sont connus selon le do cument DE 44 38 714 A1. Ce document décrit une unité de commande en sécurité propre, par exemple en liaison avec des systèmes de commande s pour commander l'unité d'entrainement d'un véhicule. La sécurité propre signifie que lorsque des défauts se produisent, l'état de défaut reste limité au système dans lequel s'est produit le défaut; ce système reste toujours dans un état de sécurité vis-à-vis de l'extérieur. Pour cela, par exemple, des détauts isolés ne doivent pas conduire à une augmentation de la puis o sance fournie par l'unité motrice. Ce concept de surveillance décrit dans ce document connu a une structure à deux canaux, c'est-à-dire que tous les chemins concernant la sécurité sont protogés par des canaux redon dants. Cela est vrai également pour les parties du programme de fonction nement concernant la sécurité ainsi que par exemple le programme qui s assure le fonctionnement de l'unité de commande. Ce programme qui réa lise les fonctions de l'appareil ou de l'unité de commande est surveillé dans le cadre d'un second plan de programmes par des programmes re dondants qui vérifient la formation correcte des grandeurs de signaux de commande par des programmes d'opération, effectuant un contrôle quan titatif. Cela signifie que les programmes du second plan réalisent une sur veillance du fonctionnement des programmes du premier plan. Le déroulement et l' aptitude au fonctionnement de s pro grammes de ce se cond plan sont surveillés par la communication avec un module de sur veillance externe dans le cadre d'une communication question-réponse. En pratique, dans la réalisation connue, le premier plan de programmes contient le programme de travail pour l'exécution de la fonc tion de commande ainsi que le s fonctions spécifique s à la surveillance de s grandeurs d'entrce et des étages de puissance. Le second plan se compose de la surveillance de fonction. Dans cette surveillance de fonction, à l'aide de fonctions redondantes, on surveille la formation correcte des grandeurs de sortie, notamment des grandeurs définissant la puissance fournie. De plus, les programmes du second plan forment la réponse à des questions sélectionnées, transmises par le module de surveillance dans le cadre d'un contrôle de déroulement d'opérations; à l'aide de ces questions, on vérife le calcul correct des fonctions surveillance et on aboutit à une surveillance de calculateur à l' aide d'un test des fonctions de surveillance par des don- nces de simulation. Le troisième plan contient finalement la communica o tion question-réponse (sur la base des questions transmises et des réponses fournies) avec le module de surveillance à l' aide duquel on sur- veille le fonctionnement des programmes dans le second plan. A ces plans, on a associé en outre des fonctions surveillance qui vérifient les compo- sants du calculateur de fonction tels que la mémoire, le convertisseur is analogique/numérique, etc. Une telle procédure est connue selon l'état de la technique décrit ci-dessus. Dans les systèmes de commande modernes, on utilise en général plusieurs unités de commande constituant des composants dis- tincts ou combinés par construction dans un méme appareil. C'est ainsi o que, par exemple, dans la commande actuelle de véhicule, on utilise des appareils de commande de l'unité motrice, de commande du comporte- ment de roulement (systèmes ABS, ASR, ESP), de commande de la bote de vitesses automatique ou de commande des freins de roue, etc. Habituellement, dans un système de sécurité d'un concept :5 d'appareil de commandes multiples, on prévoit des redondances. C'est ainsi que, par exemple, les différents composants qui fournissent les don- nées pour la suite du traitement dans les appareils de commande ou les unités de commande sont reliés directement en général à toutes les unités de commande dans un tel concept de sécurité, unités qui nocessitent les données fournies par les composants ou qui ont à traiter ces donnces. I1 s'agit, par exemple, de capteurs, mais également d'actionneurs fournis- sant le signal en retour concernant les états de fonctionnement. La présente invention a pour but de définir les données ou informations des composants avec une transmission à un ou plusieurs appareils de commande ou unités de commande et qui correspond à la norme de sécurité actuelle pour permettre de lier le s comp o s ants fournis - sant les données seulement à une unité de commande. Avantages de l' invention L'invention concerne un procédé du type défini ci-dessus caractérisé en ce que les donnces saisies ou calculées par les composants sont transmises de la première à la seconde unité de commande de ma nière protogée par une unique liaison et on protoge, de manière séparée, les donnces et la transmission des donnces dans le premier et le second plan de programmes afn de reconnaitre les défauts des donnces et de la transmission des donnces. Ainsi, pour conserver la redondance bien qu'au moins un o composant soit relié seulement à un appareil de commande, on définit deux chemins parallèles pour le signal et parmi ces chemins, l'un est équipé de mécanismes de protection spéciaux. De façon avantageuse, il suffit d'une mise en _uvre mini male de circuit pour le couplage des unités de commande car, ainsi, la s protection selon l'invention dans le premier et dans le second plan de pro grammes des donnces ou de la transmission des donnces, ne comporte qu'une liaison pour crcer la redondance. Ainsi, de manière avantageuse, la réalisation du fonctionnement avec plusieurs appareils de commande et des liaisons de cTrcuit réduites au minimum entre les unités de commande o se fait, par exemple, par un bus CAN. Le bus CAN ou le protocole de bus CAN, avec les propriétés utilisoes comme indiqué dans la description, se trouve dans la description de ce bus donnce dans le document "CAN Spe cification, Version 2.0, Robert Bosch GmbH" de 1991 et dans la norme ISO/TC 22/SC 3 N 11898 de 1999. De manière avantageuse, certains éléments ou composants, notamment qui définissent la puissance, peuvent être liés à une seule des deux unités de commande. La surveillance définie dans l'état de la techni que est ensuite assurée par la liaison selon l'invention. Pour cela, la protection dans le premier plan de program mes se fait par l'exploitation de l'information d'état d'un message CAN cor respondant qui contient les donnces. La protection dans le second plan de programmes de la première unité de commande se fait par l'adjonction d'une information de protection pour chaque donnce et/ou par l'utilisation d'un compteur de messages, permettant de contrôler la consistance et s l'actualité du message reçu. De façon avantageuse, lors de la reconnaissance d'une er reur, les donnces dans la transmission de donnces ou d'une erreur dans les donnces elles-mêmes provoquent une réaction de défaut qui établit, dans le second appareil de commande ou dans la seconde unité de com- mande, un état protogé. De façon avantageuse, la réaction de défaut est telle que le défaut dans le premier appareil de commande ou dans la pre- mière unité de commande ne conduit pas à une augmentation de puis s sance non reconnue dans un autre appareil de commande ou dans une autre unité de commande. Dessins La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'exemples de réalisation représentés dans les dessins o annexés dans lesquels: - la figure 1 montre une unité de commande selon le principe de sur- veillance du document DE 44 38 714 A1, - la figure 2 montre une combinaison d'appareils de commande et l'ex- tension selon l' invention dans le s plans de programme s 1 et 2 pour une liaison singulière d'un composant, - la fgure 3 montre, à l'aide d'un exemple pratique, une valeur de consi- gne de pédale, prédéfinie, et la régulation de vitesse de déplacement FGR pour la fonction de surveillance et la réaction de défaut. Description des exemples de réalisation o La figure 1 montre un appareil de commande 1 avec une unité de commande 10 et un module de surveillance 11. Selon un exemple de réalisation préférentielle, cet appareil de commande 1 sert à comman der un moteur à combustion interne. L'appareil de commande 1 comprend une unité de commande 10 ainsi qu'un module de surveillance 11 auquel s sont associés les plans de programmes 1, 2, 3. L'appareil de commande 1 peut comporter un calculateur qui contient globalement les plans de pro grammes 1 à 3 de sorte que le module de surveillance ou le plan 3 corres pondant sont intégrés dans l'unité de commande, c'est-à-dire dans le calculateur de fonction. Le plan 1 correspond aux fonctions qui garantissent la fonction de commande, c' est-à-dire le s missions de commande proprement dites ainsi que les fonctions de surveillance spécifiques au système pour les grandeurs d'entrée et les étages de puissance. Le plan 1 contient éga lement la fonctionnalité de transmission de donnces, par exemple lors 3s qu'on utilise un système de bus CAN. Cela est représenté par la référence 14 à la fgure 1. Les appareils de commande reçoivent par des circuits d'entrée 16, des grandeurs d'entrée fournies par des installations de me sure non représentées, comme par exemple des capteurs ou des action neurs, par les lignes d'entrée 18 à 22. Ces grandeurs d'entrce sont à la base du calcul des fonctions de commande. C'est pourquoi, les grandeurs d'entrce sont fournies aux programmes du plan 1. Les programmes du premier plan forment, sur la base des grandeurs d'entrce, des grandeurs s de réglage. Ces grandeurs de réglage sont fournies par les lignes de sortie 24, 26 aux étages de puissance 28, 30 respective. Selon l'exemple de réali sation préférentielle, il s'agit, pour l'appareil de commande 1, d'un appa reil servant à la commande d'un moteur à combustion interne et dont les étages de puissance 28 représentent les étages de commande des injec o teurs et des installations d'allumage, etc., ainsi que de l'électronique du moteur et de l'étage de puissance de l'électronique du moteur. L'étage de puissance 30 de cet exemple de réalisation préférentielle est. par exemple, un étage de puissance pour actionner un volet d'étranglement à com mande électrique du moteur à combustion interne. Suivant l'application, l'appareil de commande ou l'unité de commande 30 assure la commande des étages de puissance pour l'actionnement de l'embrayage d'une trans mission automatique, de l'installation de réglage des freins, etc. Selon le document DE 44 38 714 A1 rappelé ci-dessus, au second plan 2 on associe les programme s 3 2 qui surveillent l' aptitude au o fonctionnement des programmes du premier plan et ainsi l' aptitude au fonctionnement ou le bon fonctionnement de la commande. Selon l'exemple de réalisation préférentielle de l'invention, ce contrôle est effectué sur la base de grandeurs d'entrce et de sortie. Les programmes du second plan de programmes ou plan II reçoivent ainsi de :5 manière redondante les signaux d'entrce des lignes 18-22 ainsi que les grandeurs de sortie ou les grandeurs intermédiaires des programmes du premier plan de programmes ou plan I par l'intermédiaire des lignes 34 à 38. En comparant ces grandeurs et les grandeurs qui en sont déduites, les programmes du second plan déterminent le bon fonctionnement ou le fonctionnement défectueux des programmes du premier plan. Pour ga rantir la sécurité du fonctionnement, il est prévu qu'au moins l'un des étages de puissance, par exemple l'unité de commande 10, libère l'étage de puissance 30 par une ligne de sortie 40 par les programmes du second plan II en cas de fonctionnement correct ou arréte en cas de détaut. 3s Le troisième plan de programmes III contient les program mes vérifiant le bon fonctionnement des programmes du plan II ainsi que les composants du calculateur. Le troisième plan III peut étre réparti comme le montre la figure 1, entre un calculateur de fonction et un mo dule de surveillance 11 ou complètement intogré à l'unité de commande , c'est-à-dire quasiment intégré au module de surveillance. Le s programmes de ce plan II communiquent dans l' exem- ple de réalisation représenté, dans le cadre de la surveillance, avec des composants externes; dans l'état de la technique évoqué, il s'agit du mo- dule de surveillance. Le plan III comprend les programmes tels que les program- mes de test de mémoire 42, les programmes de contrôle de déroulement d'opérations 44 et, éventuellement, les programmes de test d'appareils o étrangers. Dans l'état de la technique évoquée ci-dessus et qui décrit la surveillance séparce d'un appareil de commande, les programmes de con- trôle de déroulement du plan III sont en liaison avec le module de sur- veillance. Par une communication de type question-réponse 13, 14 avec le contrôle de déroulement 44 et le test de mémoire 42 suivant, on garantit la surveillance du fonctionnement. Pour une protection redondante, le module de surveillance 11 ou les programmes correspondants 1 la trans- mettent, par la ligne 12, un signal d'autorisation à l'étage de puissance 30 ou une libération à l'étage de puissance du moteur 28. Ce concept de surveillance sera élargi selon l'invention en se o reportant à la figure 2. Le premier appareil de commande 200 comporte, par exemple, l'appareil de commande d'émissions ou appareil maitre, avec une liaison à différents composants 210 qui ne possèdent pas le second appareil de commande ou appareil esclave, c'est-à-dire le second appareil de commande 201. Les informations de ce composant 210 sont dér*ées :5 avantageusement pour le second appareil de commande, c'est-à-dire pour l'appareil de réception ou de commande esclave 201. Il est important que les erreurs, dans l'appareil de commande maitre 200, ne conduisent pas à une augmentation de puissance, non reconnue, dans l'appareil de com- mande esclave 201. Ainsi, dans la combinaison d'appareils de commande 2, c'est-à-dire dans le concept de multiples appareils de commande, on a un appareil de commande maître 200 relié au composant 210, compo- sants qui n'existent qu'en un seule exemplaire et ne peuvent être lus en parallèle comme par exemple un capteur de valeur de pédale. L'appareil de commande maître 200 forme un paquet de données à partir de la surveillance de fonctionnement 32a. La surveillance de fonctionnement fournit des informations RAM, sécurisces, c'est-à-dire des informations de la mémoire de travail 203a. A partir de celles-ci on forme le message d'émission avec une information de protection spéciale et un compteur de messages 204a. Cela se fait dans le plan de program mes II. A l'aide de l'exemple de la liaison par le bus CAN, on place le mes sage d'émission avec l'information de protection et le compteur de programmes dans la mémoire tampon de travail pour le message CAN 205a. Par la commande CAN pour l'émission 206a et le bloc CAN, avec la mémoire DPRAM 207a, on transmet le message avec le contenu de don nées correspondant à l'appareil de commande de réception du deuxième appareil de commande ou appareil de commande esclave 201 par la liai son 202, notamment le bus CAN. Les fonctionnalités 205a, 206a, 207a se o trouvent alors dans le plan I. Dans le plan I de l'appareil de commande de réception 201, on reçoit, par le bloc 207b, DPRAM, le service CAN pour la réception 206b et la mémoire tampon de travail pour le message CAN 205b pour les mes sages CAN. On exploite le message de réception dans le plan II et on en lS contrôle l'actualité à l'aide du compteur de messages ainsi que sa consis tance à l'aide de l'information de protection dans 204b. Les donnces arri vent alors comme informations de mémoire de travail, protégées, par le bloc 203b dans la surveillance de fonction 32b. Cela signifie que l'exploi tation et la vérification se font dans le plan II, dans le cadre de la sur veillance de fonctionnement. La figure 3 présente de nouveau cette situation à l'aide d'un exemple concret. Cela signifie que l' extension du concept de surveillance de la figure 1, représentée à la figure 2, sera présentée à l'aide de la figure 3 dans le cas pratique d'un capteur de valeur de pédale et d'une régula tion de vitesse de déplacement FGR. Les chemins de signaux concernés par la surveillance ainsi que les mécanismes de protection spéciaux sont présentés dans cette figure. Dans le bloc 300, on a représenté le transfert du message de réception à partir de la mémoire tampon CAN. On peut alors extraire le compteur de messages du maitre 304, une valeur de con signe de pédale du maitre 303 et l'autorisation de réqulation de vitesse de déplacement du matre 3 0 2 (autorisation FGR) et l' information de protec tion 301. Dans le bloc 305 on exploite la différence des compteurs de message. Cela signifie que l'on vérifie l'actualité du message de réception. 3s Dans le bloc 306, on contrôle l'information de protection. Cela peut étre présenté ici comme somme de contrôle ou valeur de contrôle sur 302304 ou encore comme valeur de sommes de contrôle sur de s partie s de l' infor mation globale par exemple seulement pour 302 et 303. Les résultats de l'exploitation du compteur de messages, c'est-à-dire le contrôle de l'actualité ainsi que le contrôle de la consistance dans le bloc 306 sont évalués dans le bloc 307. Un exemple d'une telle ex- ploitation est par exemple l'usure des signaux, si bien que, par exemple, s lorsqu'un défaut est signalé par la valeur "l", on prédétermine unique- ment, en l'absence de défaut, aucune valeur inactive dans 308. Si un dé- faut symbolisé par un état "l" provient de l'un des blocs 305 ou 306, du fait de la détérioration, on prédétermine des valeurs inactives, ce qui per- met d'éviter une augmentation de la puissance dans l'appareil de com 0 mande esclave. Ces valeurs inactives dans le bloc 308 sont, par exemple, la consigne de ralenti pour la valeur de consigne de la pédale ou la négation de l'autorisation correspondant à la régulation de vitesse de déplacement. Dans le plan I, on prédétermine le ralenti pour la valeur de consigne de la S pédale ou on prédétermine un couple nul dans le cadre de la régulation de la vitesse de déplacement. On définit ainsi deux chemins de signaux, d'une part le chemin de signal de la fonction dans le plan I comme faisant partie des messages CAN; dans cet exemple de réalisation particulier, on transmet la valeur de consigne de la pédale et un couple de régulation de o vitesse de déplacement dans le cadre des messages CAN. Pour cela, dans le plan I, une interruption d'informations dans la fonction sera reconnue par l' exploitation des informations d'état des messages CAN dans la mé- moire CAN-DPRAM et conduit à la réaction de défaut évoquce dans la fonction de la consigne de ralenti pour la valeur de consigne de la pédale s ainsi que la consigne de couple nul, dans le cadre de la régulation de vi- tesse de déplacement. Le second chemin de signal de la surveillance dans le plan II se fait également dans le message CAN mais avec le compteur de mes- sage et l'information de protection. Cela signifie que l' on reconnait une interruption d'informations dans la surveillance de fonction par l'exploita- tion du compteur de messages en fonction d'une modification. Dans le chemin de signal II, on transmet également une valeur de consigne de la pédale, de préférence une valeur de consigne de la pédale, redondante, ainsi que l' autorisation de la régulation de vite s se de déplacement FGR. 3s En détectant un détaut dans la surveillance, on a comme réaction la con- signe de ralenti pour la valeur de consigne redondante de la pédale ainsi que le classement de la régulation de vitesse de déplacement comme non g autorisé; ainsi l'appareil de commande esclave est mis dans un état sécu , rise. De plus, on considérera maintenant l'effet des défauts dans l'appareil de commande maître 200 dans le cadre du comportement de s l'appareil de commande esclave 201. Pour cela, on distingue entre les éta pes 1 à 4. 1. Défauts qui ont un effet sur la valeur de consigne de la pédale, transmise par l'appareil de commande maître à l'appareil de com- mande esclave: ces défauts peuvent être les suivants: lO - sous-tension dans l'appareil de commande maître, - défaut ADC dans l'appareil de commande maître (ADC = convertisseur analogique / numérique), - détection de défaut dans la surveillance de la valeur de consigne de la pédale dans l'appareil de commande maître dans le plan II. lS Les défauts indiqués conduisent à la réaction de défaut sui vante dans le système: - consigne de ralenti dans le plan I pour l'appareil de commande maître et l'appareil de commande esclave, - surveillance de la consigne de ralenti dans le plan II pour l'appareil de o commande maître et l'appareil de commande esclave, - limitation de la vitesse de rotation par la coupure de l'injection par un étage de puissance du volet d'étranglement 30, coupé du courant dans l'appareil de commande maître et consigne de ralenti dans l'appareil de commande esclave. 2. Défauts ayant des effets sur la consigne de régulation de vitesse de déplacement transmise par l'appareil de commande maître à l'appa reil de commande esclave: - défaut de man_uvre de la régulation de vitesse ou défaut de message pour des signaux de régulation de vitesse par le bus CAN, 3 0 - défaut de l' interrupteur de s feux de frein, - autres défauts conduisant à une coupure FGR dans le plan I et - reconnaissance de défauts dans la surveillance des informations d'en trée pour la surveillance FGR dans l'appareil de commande maître dans le plan II. 3s Ces défauts conduisent à la réaction de défaut suivante dans le système: - pas de couple de consigne FGR dans le plan I pour l'appareil de com mande maître et l'appareil de commande esclave, - pas d'autorisation FGR dans le plan II dans l'appareil de commande maître et dans l'appareil de commande esclave, - fonctionnement normal sans régulation de vitesse de déplacement dans l'appareil de commande maître et dans l'appareil de commande esclave, s en con sidérant comme exceptions le s défauts aboutissant à la coupure de la régulation FGR. Ces défauts sont accompagnés par d'autres réac tions de défaut dans l'appareil de commande maître. 3. Défauts de mémoire, mémoire de travail ou défaut de mémoire fixe (RAM ou ROM dans l'appareil de commande maître). Ils conduisent à o la réaction de défaut suivante dans le système: - le test de mémoire concerné par le défaut est répété lors de l'initialisa tion de l'appareil de commande mâître, - le test de mémoire reconnâît le défaut et interdit le fonctionnement normal, s - la liaison CAN dans l'appareil de commande maître n'est pas libérce, - les messages CAN dans l'appareil maître ne sont pas envoyés, - l'appareil de commande esclave ne reçoit pas de message CAN dans l'appareil de commande maitre, - le plan I dans l'appareil de commande esclave reconnaît par les infor o mations d'état dans les octets de description (octets descripteurs) des messages CAN, une interruption d'informations et il fournit comme va leur de consigne de pédale, le ralenti et comme couple de consigne de la régulation FGR la valeur 0, - le plan II de l'appareil de commande esclave reconnaît que le compteur s de messages est arrété et il fournit pour la surveillance, comme valeur de consigne de la pédale, la valeur de ralenti et pour la fonction de ré gulation FGR, l'information est "FGR non disponible", - coupure de l'étage de puissance de l'appareil de commande maitre, - mode de ralenti sans régulation de vitesse de déplacement de l'appareil de commande maitre après le temps de rebondissement final et limita tion de la vitesse de rotation par la coupure de l'injection. 4. Détauts d'ordre ou du contrôleur de déroulement ou de programme dans l'appareil de commande maître conduisant à des réactions de défauts possibles suivantes dans l'appareil: 3s - l'appareil de commande maitre n'envoie pas de message à l'appareil de commande esclave, - dans l'appareil de commande esclave, on reconnaît dans le plan I et dans le plan II une interruption d'informations CAN et on réagit par une consigne de neutralisation, - l'appareil de commande maître n'envoie pendant le temps de remise à l'état initial et d'initialisation aucun message de surveillance valable si non entaché d'erreur à l'appareil de commande esclave, - le plan II de l'appareil de commande esclave reconnaît des défauts de message et transmet des valeurs inactives aux plans I et II, l'appareil de commande maître n'envoie aucun message à l'appareil de o commande esclave pendant le temps de remise à l'état initial et le temps d'initialisation et l'appareil de commande esclave réagit par une consi gne de neutralisation, - l'appareil de commande maître peut envoyer des messages valables à l'appareil de commande esclave entre les remises à l'état initial déclen i5 chées cycliquement par le module de surveillance. Cela est compensé par l'effet permanent du défaut qui n'est supprimé qu'après reconnais sance de plusieurs messages sans défaut. L'appareil de commande es clave est en permanence à la consigne de neutralisation dans le plan I et le plan II. o Ainsi, dans le concept d'appareils de commandes multiples avec un appareil de commande maître auquel sont reliés des composants qui n'existent qu'en un seul exemplaire et ne peuvent par ou ne doivent pas être enregistrés en parallèle, comme par exemple le capteur de valeur de pédale, un fonctionnement avec appareils de commandes multiples et une liaison câblée minimale entre les appareils de commandes, peut se faire par exemple uniquement par un bus CAN, pour avoir le niveau de sécurité nécessaire. Pour cela, certains éléments qui déterminent notam ment la puissance ne peuvent être liés qu'à l'un des deux appareils de commande et la surveillance définie selon l'état de la technique peut être so faite par cette liaison. R E V E N D I C A T I O N S 1 ) Procédé de surveillance des donnces et de la transmission des données entre au moins une première et une seconde unité de commande, selon lequel s au moins les deux unités de commande ont un premier plan de program- mes auquel sont associés les programmes qui calculent la fonction de commande ainsi qu'un second plan de programmes avec les programmes surveillant le bon fonctionnement des programmes dans le premier plan de programmes, o la première unité de commande étant reliée à au moins un composant servant à la saisie de donnces, notamment des grandeurs de commande, caractérisé en ce que les données saisies ou calculées par les composants sont transmises de la première à la seconde unité de commande de manière protogée par une s unique liaison et on protoge, de manière séparée, les données et la trans- mission des donnces dans le premier et le second plan de programmes afin de reconnaitre les défauts des données et de la transmission des don- nces. 2 ) Procédé selon la revendication 1, caractérisé en ce que l'unique liaison est un bus CAN. 3 ) Procédé selon la revendication 2, caractérisé en ce que la protection dans le premier plan de programmes se fait par l'exploitation de l'information d'état d'un message CAN correspondant qui contient les données, par le bus CAN. 4 ) Procédé selon la revendication 1, caractérisé en ce que la protection dans le second plan de programmes de la première unité de commande se fait par l'adjonction d'une information de sécurité pour cha- que donnce et par l'utilisation d'un compteur de messages. ) Procédé selon la revendication 1, caractérisé en ce que lors de la détection d'un défaut des données ou de la transmission des données, notamment d'une coupure de la transmission des donnces, on a une réaction de défaut qui établit un état protégé dans le second appareil de commandes. 6 ) Dispositif comprenant au moins deux unités de commande pour sur- veiller les donnces et la transmission des donnces entre une première et une seconde unité de commande au moins les deux unités de commande étant associces à un premier plan o de programmes contenant des programmes calculant la fonction de com- mande ainsi qu'un second plan de programmes comprenapt les program- mes surveillant le bon fonctionnement des programmes du premier plan de programmes, la première unité de commande étant reliée à au moins un composant is servant à la saisie de données notamment de grandeurs de commande, ., caracterise en ce que les données saisies par les composants ou les données déterminces avec ces composants sont transmises de manière protégée par une unité de liaison de la première vers la seconde unité de commande, et des moyens sont prévus pour assurer une protection séparce des donnces et de la transmission des donnces dans le premier et le second plan de program- mes pour reconnaître le s défauts des donnée s et de la transmission de s données.