Brevet FR2822424A1 — publié le 20020927

Etat de la technique L'invention concerne un dispositif pour relier des réseaux de communication d'un véhicule automobile comportant au moins deux réseaux de communication. Pour la communication des données entre les différents composants d'un véhicule automobile on utilise des réseaux de communication comme par exemple le bus CAN ou le bus MOST. Avantages de l'invention La présente invention concerne un dispositif du type défini ci-dessus, caractérisé en ce que le dispositif comporte un commutateur de sécurité pouvant relier au moins deux réseaux de communication. Le dispositif selon l'invention, pour relier des réseaux de communication dans un véhicule automobile, a l'avantage de disposer d'un commutateur de sécurité à l'aide duquel les réseaux de communication existant dans le véhicule peuvent être reliés dans certaines situations. Le commutateur de sécurité selon l'invention assure une séparation galvanique de sorte qu'un premier réseau de communication ne peut influencer un second réseau et le perturber. Cela augmente l'objectif de sécurité du système. Les considérations de sécurité concernant de tels réseaux de communication d'un acheteur ou d'un utilisateur d'un véhicule automobile seront fortement réduites car l'accès aux éléments critiques de sécurité, comme par exemple le système ABS, est protégé avec un degré de protection élevé. De plus, seul, de manière active, l'utilisateur peut luimême fermer l'interrupteur de sécurité. Ainsi, l'utilisateur dispose pleinement de l'accès du réseau de communication critique pour la sécurité. Il est particulièrement avantageux d'avoir, entre deux réseaux de communication, une communication unidirectionnelle permanente, et cela à partir du réseau de communication critique pour la sécurité, vers par exemple un réseau multimédia qui n'est pas critique pour la sécurité. Les données de système peuvent être transmises par la communication unidirectionnelle comme par exemple l'état des différents composants vers le réseau multimédia ; ces données du système peuvent alors être reproduites par un moyen d'affichage pour signaler le cas échéant un défaut de fonctionnement ou un abaissement des paramètres des composants jusque dans la zone dangereuse. Par la fermeture de l'interrupteur de sécurité, on permet alors avantageusement une communication en duplex entre les deux réseaux de communication de sorte que les données peuvent être interrogées directement par le réseau de données critiques pour la sécurité. En particulier une mise à jour de programmes des composants reliés aux réseaux de données critiques pour la sécurité est ainsi rendue possible. Les données peuvent également être injectées de l'extérieur dans le réseau de communication critique en sécurité. En variante, il est possible de ne permettre une communication que par l'interrupteur de sécurité entre les réseaux de communication. Cela augmente la sécurité du système. Il est en outre avantageux que le premier réseau de communication (ici un réseau multimédia) comporte une interface radio qui peut être activée par la fermeture du commutateur ou interrupteur de sécurité. Cela permet alors, lorsque l'utilisateur ferme ce commutateur de sécurité, d'établir automatiquement une liaison prédéterminée par l'interface radio, pour permettre par exemple un diagnostic à distance ou une mise à jour de programme dans des composants du réseau de communication critique du point de vue de la sécurité. Il est notamment prévu que l'interface radio permette de recevoir de telles données seulement si le commutateur de sécurité est fermé par un serveur externe. On arrive ainsi à un degré élevé de sécurité et d'intégrité des données. Il est en outre avantageux qu'à la fermeture du commutateur de sécurité, l'interface radio du premier réseau de communication soit automatiquement mise en contact avec une station opposée et établit la communication avec le second réseau de communication critique pour la sécurité par l'intermédiaire du premier réseau. Ce n'est que si le commutateur est fermé, qu'alors il est possible d'assurer une liaison entre une station opposée, et le réseau de communication critique en sécurité. Cela augmente également la sécurité du dispositif selon l'invention. La station opposée peut être préprogrammée de manière définitive et ineffaçable par le fabricant. Dessins La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'exemples de réalisation représentés dans les dessins annexés dans lesquels : - la figure 1 est un schéma par blocs du dispositif selon l'invention, - la figure 2 montre un premier ordinogramme, - la figure 3 montre un second ordinogramme. Description des modes de réalisation Le développement des réseaux de composants dans les véhicules automobiles, d'une part, au niveau de la gestion du moteur, et, d'autre part, au niveau des composants multimédias, rend nécessaire la combinaison de ces deux domaines pour permettre par exemple d'effectuer un diagnostic à distance du moteur ou encore de charger un nouveau programme du système ABS. Il est avantageux dans ces conditions que les composants multimédias comportent une interface réalisée notamment par un téléphone mobile. Selon l'invention, entre un réseau de communication critique du point de vue de la sécurité et le réseau de communication multimédia on prévoit un interrupteur de sécurité qui peut être fermé uniquement par l'utilisateur. Ainsi, l'accès au réseau de communication critique pour la sécurité ne peut être fait qu'avec l'accord de l'utilisateur. La figure 1 montre, sous la forme d'un schéma par blocs, le dispositif selon l'invention. Un interrupteur de sécurité 1 est relié d'un côté à un réseau de sécurité 2 et de l'autre côté à un réseau multimédia 3. L'ouverture de l'interrupteur de sécurité 1 conduit à une coupure galvanique entre le réseau de sécurité 2 et le réseau multimédia 3. Il est toutefois prévu une liaison permanente en option entre le réseau du moyen de sécurité et le réseau multimédia, mais qui toutefois ne permet qu'une communication unidirectionnelle entre le réseau de sécurité 2 et le réseau multimédia 3. Ainsi, seules les données du système sont transmises du réseau de sécurité 2 pour être affichées dans le réseau multimédia 3. On évite ainsi un accès aux composants du réseau de sécurité, aux freins et à la commande du moteur. Le réseau multimédia 3 est relié à un autoradio 6 et à une commande de radio téléphone 4 par des entrées/sorties de données. Par une entrée/sortie de données, la commande 4 est en outre reliée à un téléphone mobile 5. Il est possible de raccorder d'autres composants comme par exemple un appareil de navigation ou un PC auto au réseau multimédia 3. Le réseau multimédia 3 est réalisé ici sous la forme d'un bus MOST ; il est également possible d'utiliser le bus de la cloison coupe-feu ou n'importe quel autre bus (Ethernet, VSB). Un système ABS (système antiblocage) 8 et un système ESP (système de commande électronique de la dynamique de roulement) 7 sont reliés au réseau de sécurité 2. Le réseau de sécurité 2 est réalisé sous la forme d'un bus CAN. Il permet de raccorder d'autres composants à la commande du moteur pour le bus CAN. L'utilisateur du véhicule fermera l'interrupteur de sécurité 1, par exemple en actionnant un interrupteur ou une touche ou par un ordre vocal s'il souhaite qu'un diagnostic soit effectué sur les composants 7 et 8 reliés au réseau de sécurité 2. Il est également possible d'effectuer une mise à jour de programme des différents composants 7 et 8. Le télé- phone mobile 5 établit une liaison avec le serveur d'une société qui effectue les travaux d'entretien à distance. La figure 2 montre un premier ordinogramme du procédé selon l'invention. Dans l'étape 9 du procédé, l'utilisateur ferme le commutateur ou interrupteur de sécurité 1. Dans l'étape 10, les liaisons de téléphone mobile encore existantes sont coupées par le téléphone mobile 5. Dans l'étape 11, on redémarre le réseau multimédia 3 et dans l'étape 12 on voit que le commutateur de sécurité 1 a été fermé. Il s'agit du cas dans lequel la commande 4 établit une liaison vers un serveur enregistrée de manière définitive dans la commande 4 par le téléphone mobile 5. Puis un service d'entretien à distance peut être effectué sur les appareils 7 et 8 reliés au réseau de sécurité et le cas échéant on peut transférer un programme. En ouvrant le commutateur de sécurité 1 à la fin du diagnostic, le transfert de programme se fait automatiquement. En variante, cela peut également se faire manuellement. Cette situation est indiquée dans l'étape de procédé 20. Puis on établit de nouveau une liaison de communication quelconque à partir du réseau multimédia 3 avec le téléphone mobile 5. La figure 3 montre un second ordinogramme d'un procédé selon l'invention. Dans l'étape de procédé 14, l'utilisateur établit une liaison avec le téléphone mobile 5 vers un serveur prédéterminé qui fait partie d'une société effectuant un travail d'entretien à distance. Dans l'étape de procédé 15, l'utilisateur demande une mise à jour du programme par le téléphone mobile 5. Puis l'utilisateur passe à l'étape 16 pour réaliser la liaison par le téléphone mobile. Dans l'étape de procédé 17, l'interrupteur de sécurité 1 est fermé et dans l'étape de procédé 18 le dispositif selon l'invention reçoit, par le téléphone mobile 5, un appel du serveur appelé précédemment. Le dispositif selon l'invention est alors en mesure de recevoir cet appel si l'interrupteur de sécurité 1 est fermé. Dans l'étape de procédé 19 on relie la mise à jour du programme par le serveur par le téléphone mobile 5 et la commande 4 aux composants correspondants reliés au réseau de sécurité 3. Dans l'étape de procédé 21 on ouvre de nouveau l'interrupteur ou commutateur de sécurité 1. REVENDICATIONS 1 ) Dispositif pour relier des réseaux de communication (2, 3) d'un véhi- cule automobile comportant au moins deux réseaux de communication (2,3), caractérisé en ce que le dispositif comporte un commutateur de sécurité (1) pouvant relier au moins deux réseaux de communication (2,3). 20) Dispositif selon la revendication 1, caractérisé en ce qu' entre au moins deux réseaux de communication (2,3), une communication unidirectionnelle permanente peut être étendue à une communication duplex par la fermeture du commutateur de sécurité (1). 3 ) Dispositif selon la revendication 1, caractérisé en ce qu' un premier réseau de communication (3) comporte une interface radio (4, 5) activée par la fermeture du commutateur de sécurité (1). 4 ) Dispositif selon la revendication 3, caractérisé en ce que l'interface radio (4,5) peut recevoir des données lorsque le commutateur de sécurité (1) est ouvert. 5 ) Dispositif selon la revendication 3, caractérisé en ce que les données ne peuvent être reçues par l'interface radio (4,5) que lorsque le commutateur de sécurité (1) est fermé. 6 ) Dispositif selon la revendication 3, caractérisé en ce que lors de la fermeture du commutateur de sécurité (1), l'interface radio (4,5) vient en contact automatiquement avec une station opposée et celle-ci établit une liaison avec un second réseau de communication du véhicule. 70) Dispositif selon la revendication 1, caractérisé en ce que le commutateur de sécurité (1) ne peut être fermé que par un utilisateur. TRADUCTION FIGURE 1 1 commutateur de sécurité 20 communication unidirectionnelle 21 réseau de sécurité 22 réseau multimédia 23 téléphone mobile. TRADUCTION FIGURE 2 9 fermer le commutateur de sécurité 10 interruption des liaisons encore existantes du téléphone mobile 11 redémarrage du réseau multimédia 12 détection de la fermeture du commutateur de sécurité 13 connexion vers un serveur prédéterminé 20 ouverture du commutateur de sécurité TRADUCTION FIGURE 3 14 établissement d'une liaison avec un serveur prédéterminé 15 demande d'une mise à jour de programme 16 fermeture de la connexion 17 fermeture du commutateur de sécurité 18 réception d'un appel du serveur 19 transfert de la mise à jour de programme 21 ouverture du commutateur de sécurité.