Brevet FR2864645A1 — publié le 20050701

"Système de contrôle à communications sécurisées pour groupe motopropulseur" La présente invention concerne un système de contrôle à communications sécurisées pour groupe motopropulseur. L'émergence des réseaux de communication pour les applications électroniques embarquées dans un véhicule automobile engendre un nombre grandissant de systèmes interagissant avec les systèmes de contrôle du groupe motopropulseur qui se définit par la combinaison d'un moteur io thermique, électrique ou hybride et d'une transmission (manuelle ou pilotée). L'invention se propose d'établir un protocole de communication entre les différents calculateurs qui assure la sécurisation des échanges entre deux calculateurs et qui apporte is toute la sécurité indispensable dans la maîtrise du comportement dynamique du véhicule. L'invention s'applique à un véhicule automobile équipé d'un moteur thermique contrôlé par un calculateur de contrôle moteur qui échange des informations de contrôle avec d'autres calculateurs; ces derniers produisent des requêtes de couple, de régime, de puissance ou de force de traction au contrôleur du moteur, qui les traitent ensuite afin d'assurer la réalisation des demandes émises par les systèmes de contrôle. Parmi l'état de la technique, on peut citer le document US- A-6.364.812, qui décrit une structure d'arbitrage qui intègre des systèmes externes au contrôle moteur (régulation de vitesse), ainsi qu'une architecture de contrôle de la transmission automatisée au sein d'un contrôleur moteur. Ce document ne traite pas de la sécurisation des données échangées. Dans le document US-A-6,360,152 est définie une modularité de couches logicielles réparties entre différents calculateurs. Elle ne décrit pas la nature fonctionnelle des échanges entre ces calculateurs ni la sécurisation associée aux applications codées. Dans le document US-A-5,734,322 est défini un protocole de communication uniquement réservé au périmètre moteur - boîte de vitesses et restreint à la définition d'un état logique rafraîchi périodiquement. II n'est pas généralisé à tout type de calculateur et n'intègre pas les tests sur les contenus des variables d'échanges. L'invention propose une méthode générique de dialogue sécurisé entre les différents calculateurs qui agissent sur le contrôle longitudinal du véhicule pour prévenir les accélérations io intempestives. Dans les véhicules actuels, le nombre de systèmes susceptibles d'agir sur le contrôle du moteur est en augmentation, et l'invention propose un mode de communication qui garantit, dans toutes les phases de fonctionnement, un contrôle optimal et ls sécurisé de ces systèmes. Un premier avantage de l'invention est d'offrir un protocole générique des communications entre deux systèmes pour aboutir à une relation permettant de déterminer un mode d'échange standard et configurable pour tous les systèmes communiquant avec l'un des calculateurs du groupe moto propulseur. Cette interface est indépendante du système émetteur qui peut être remplacé par un autre calculateur d'une fonctionnalité différente, mais utilisant le même type de communication pour obtenir une prestation équivalente. Un second avantage de l'invention est de sécuriser et de fiabiliser la fonction globale de contrôle du groupe motopropulseur en effectuant un test des valeurs échangées. Un troisième avantage de l'invention vient du fait que les échanges d'information sont standardisés, ce qui permet de minimiser les coûts de développement et de validation. Les moyens d'arbitrage permettent au système récepteur de requête et/ou arbitre de choisir le type de demandes vis-à-vis du groupe motopropulseur comme un type de demande en couple moteur, un type de demande en couple roue, un type de demande en force roue ou un type de demande en puissance, pour assurer les besoins fonctionnels qui lui sont propres. Les moyens d'arbitrage comportent de moyens de sécurisation des échanges d'informations et de fonctionnement pour éviter par exemple des accélérations intempestives par augmentation de couple du moteur. L'invention apporte donc les avantages d'un gain de temps lors de la conception du véhicule, d'un gain financier obtenu par la réutilisation de composants déjà fabriqués et d'un gain dans la io simplification des procédures de validation. A ces fins, la présente invention concerne un système de contrôle pour groupe motopropulseur à communications sécurisées comportant au moins un module de présentation de requêtes, requêteur ou encore "fournisseur", attaché à au moins un système récepteur ou "client", et des moyens d'interfaçage et d'arbitrage qui reçoivent des données du module de présentation de requêtes et lui restituent de données de commande et qui assurent un échange de données avec un dispositif de contrôle comme un contrôleur du moteur thermique pour assurer l'exécution des requêtes. D'autres avantages et caractéristiques de la présente invention seront mieux compris à l'aide de la description des figures annexées parmi lesquelles: - la Figure 1 est un schéma bloc de présentation des 25 échanges standard entre deux systèmes A et B requêteur et récepteur; - la Figure 2 décrit l'ensemble des communications entre les deux systèmes A et B. Sur la figure 1, on a représenté deux systèmes A et B ainsi que la nature des échanges d'informations standard entre ces deux systèmes. Par exemple et à titre non limitatif, le système B pourrait représenter l'unité de contrôle du moteur, et le système A pourrait représenter une unité émettrice de requête, ou requêteur qui présente des requêtes en couple (au moteur), ou plus généralement au groupe motopropulseur. Ainsi, tout système ajouté qui souhaite présenter des requêtes au groupe motopropulseur GMP, adoptera ce type d'échanges 'standard'. La description ci-dessous précise la nature des informations échangées entre les systèmes A et B. Par système, on entend un organe mécanique, par exemple un moteur équipé de son calculateur. Pour des raisons de lisibilité, la description se limite io uniquement à deux systèmes A et B, mais ce nombre n'est pas limitatif. Par ailleurs, un même récepteur pourrait traiter et arbitrer simultanément des requêtes provenant de plusieurs requêteurs. Le système A comporte: des moyens de production de paramètres de sortie, détaillés sur la figure 2. Ces paramètres sont transmis sur un bus déterminé vers le système B; des moyens de traitement de paramètres d'entrée, détaillés sur la figure 2, et provenant du système B; et - des moyens d'élaboration d'une requête en couple moteur et/ou en régime moteur. Le système B comporte symétriquement: - des moyens de traitement des paramètres de sortie du système A; - des moyens de production de paramètres de contrôle du système A; - des moyens pour traduire les paramètres de sortie du système A en ordres de commande des actionneurs pour répondre à la requête en couple et/ou en régime présentée par le système A, et pour activer les moyens de production des paramètres de contrôle précités. A la figure 2 est décrite l'architecture globale des communications entre les deux systèmes A et B de la figure 1 et l'ensemble des données échangées. L'architecture globale fait apparaître quatre modules fonctionnels principaux répartis sur deux systèmes électroniques de contrôle. Pour le système A, un module 1 qui génère les consignes de pilotage du système secondaire qui, par exemple, peut comporter un contrôleur de trajectoire, un régulateur de vitesse, un générateur électrique de puissance mécanique. Pour le système B: - un module 11 qui génère les consignes de pilotage du 10 système de commande principal à savoir, le contrôle moteur ou le contrôle de la transmission automatisée; - un module 10 qui assure la sécurisation des données et valide la requête unifiée présentée par le module 1; - un module d'arbitrage 12 qui assure la sélection de la consigne en fonction du contexte et du type de la demande. Le système A peut présenter plusieurs sorties, une première sortie qui spécifie la nature des échanges entre A et B, et une deuxième sortie représentative de la consigne à atteindre qui intègre la compensation de la dynamique du système commandé (en terme de temps de réponse). Cette grandeur sert au système B pour pré positionner l'ensemble de ses actionneurs afin de restituer la plus grande dynamique dans la réponse à la requête (comme par exemple pour pré positionner un turbo ou un actionneur d'ouverture de l'organe d'admission du combustible au moteur, etc...). Le système A peut aussi comporter une troisième sortie pour une valeur numérique de la consigne à exiger immédiatement du système B. Elle correspond à la consigne que le système B doit suivre le plus rapidement possible en fonction de ses capacités de réalisation (comme par exemple la correction d'avance à l'allumage, la modulation du débit d'injection, etc...). Le système A peut encore comporter une quatrième sortie, représentative de la nature du pilotage souhaité par le système A. Cette information définit la nature de l'arbitrage qui doit être fait entre la consigne interne du système B et celle demandée par le système A. Ce type de pilotage peut comporter quatre états distincts: 5 - pas de pilotage, - augmentation par rapport à la consigne courante, - diminution par rapport à la consigne courante, - prise de contrôle total par le système A indépendamment de la consigne courante interne du système B. lo Une cinquième sortie peut être le complément mécanique de la consigne exigible du système B mentionnée ci- dessus. Enfin, le système A peut avoir une sixième sortie, constituée par une variable qui s'incrémente à chaque échantillonnage temporel lorsque le système A présente des requêtes au système B. Ainsi, le système B peut vérifier et valider la cohérence des requêtes émises par le système A et il décide de les prendre en compte lorsque le complément numérique et la consigne numérique sont cohérents entre eux, et lorsque la variable d'incrémentation temporelle évolue correctement à chaque échantillonnage. Dans la négative, la requête est rejetée. Le système B ne prend pas en compte les requêtes du système A. Il informe alors ce dernier de la prise en compte ou non de ses requêtes. Dans un mode de réalisation, si le système requêteur 1 présente une sortie représentative de la consigne à exiger immédiatement du système requéteur 2 ou s'il présente une sortie définissant la nature de l'arbitrage entre la consigne interne du système récepteur 1 et la consigne demandée par le système requêteur 1 alors le système requéteur 1 présente aussi une sortie pour un complément numérique de la consigne exigible du système récepteur 2. REVENDICATIONS 1 - Système de contrôle pour groupe motopropulseur à communications sécurisées comportant au moins un premier système requêteur (1) qui présente des requêtes de pilotage, et un deuxième système (2), récepteur comprenant des moyens d'arbitrage qui reçoivent des requêtes du système requêteur (1), et lui restituent des données en commande. 2 Système de contrôle selon la revendication 1, caractérisé en ce qu'un même système récepteur (2) peut arbitrer io simultanément des requêtes provenant de plusieurs systèmes requêteurs (1). 3 Système de contrôle selon la revendication 1 ou 2, caractérisé en ce que le système requêteur (1) comporte des moyens de traitement des données provenant du système récepteur et des moyens d'élaboration d'une requête en couple ou en régime moteur. 4 - Système de contrôle selon la revendication 1, 2 ou 3, caractérisé en ce que le système récepteur (2) comporte des moyens de traitement des paramètres de sortie du système requêteur (1), des moyens de production des paramètres de contrôle du système requêteur (1) et des moyens pour traduire les paramètres en sortie du système requêteur en ordres de commande d'actionneurs pour répondre à un requêteur du couple ou du régime. 5 - Système de contrôle selon l'une des revendications précédentes, caractérisé en ce que le système requêteur (1) présente une sortie qui spécifie la nature des échanges avec le système récepteur (2). 6 - Système de contrôle selon l'une des revendications précédentes, caractérisé en ce que le système requêteur présente une sortie représentative de la consigne à atteindre intégrant la compensation dynamique du régime. 7 - Système de contrôle selon l'une des revendications précédentes, caractérisé en ce que le système requêteur (1) présente une sortie représentative de la consigne à exiger immédiatement du système requêteur (2). 8 - Système de contrôle selon l'une des revendications précédentes, caractérisé en ce que le système requêteur (1) présente une sortie définissant la nature de l'arbitrage entre la consigne interne du système récepteur (1) et la consigne demandée par le système requêteur (1). 9 - Système de contrôle selon la revendication 7 ou 8, caractérisé en ce que le système requêteur (1) présente une io sortie pour un complément numérique de la consigne exigible du système récepteur (2). - Système de contrôle selon l'une des revendications précédentes, caractérisé en ce que le système requêteur présente une sortie pour une variable qui s'incrémente à chaque échantillonnage temporel lorsque le système requêteur (1) présente des requêtes au système au système récepteur (2).