Brevet FR2883999A1 — publié le 20061006

La présente invention concerne un système de pilotage d'au moins un organe fonctionnel de véhicule automobile, qui comporte des moyens formant calculateur raccordés à cet organe pour assurer le contrôle du fonctionnement de celui-ci. Dans de tels systèmes utilisant des calculateurs de pilotage d'organes, la sécurité de la commande est souvent assurée par des systèmes annexes de secours. Ainsi par exemple, dans le cas d'un système de freinage commandé par fils, c'est-à-dire dans lequel les moyens de freinage sont pilotés par un signal électrique, on utilise fréquemment un frein de secours manuel à titre de sécurité en cas de défaillance du système de freinage commandé par fils. Une autre approche relative à cette sécurité de fonctionnement consiste à garantir un tel fonctionnement du calculateur en utilisant des redondances par exemple matérielles à la manière des calculateurs utilisés dans l'industrie aéronautique. Le problème est alors reporté sur la gestion de la complexité du système et la façon de distribuer les ressources informatiques disponibles en cas de panne. De plus, il devient impossible de fournir à un utilisateur des moyens 20 simples pour piloter efficacement les redondances et les dispositifs de supervision. En effet, il n'existe pas à ce jour de solution clef en main, proposant une redondance de ressources au niveau d'un calculateur. Ce qu'il est possible de faire, c'est de multiplier des cartes d'unité cen- traie de traitement d'informations et d'implémenter un dialogue entre celles-ci, pour surveiller leur bon fonctionnement, mais la répartition des ressources suivant le contexte doit toujours être gérée par l'application. A titre d'exemple d'état de la technique, on pourra se reporter au document WO-01/80007, qui décrit un système assurant le fonctionnement consis-30 tant d'un système informatique comportant des composants redondants. Le but de l'invention est donc de résoudre ces problèmes. A cet effet, l'invention a pour objet un système de pilotage d'au moins un organe fonctionnel de véhicule automobile, comportant des moyens formant calculateur raccordés à cet organe pour assurer le contrôle du fonctionnement de celui-ci, caractérisé en ce que les moyens formant calculateur comprennent un calculateur unique à processeurs multiples raccordés en parallèle à des moyens de supervision de ceux-ci et de répartition des tâches de traitement entre ceux-ci, les différents processeurs comportant des moyens d'émission à destination de ces moyens de supervision et de répartition, d'une information d'état de fonctionnement ou de défaillance, afin de permettre à ces moyens de répartir les tâches de traitement entre les processeurs en état de fonctionnement. Suivant d'autres caractéristiques: - les moyens formant calculateur sont adaptés pour passer en mode de fonctionnement dégradé en cas de défaillance d'un processeur; - lesdits moyens formant calculateur comprennent au moins un processeur de secours destiné à remplacer un processeur défaillant pour assurer la tâche de traitement correspondante en cas de défaillance de celui-ci; - l'organe fonctionnel est un système de freinage du véhicule; et - l'organe fonctionnel est un mécanisme de direction du véhicule. L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple et faite en se référant au dessin annexé, qui représente un schéma synoptique d'un système de pilotage selon l'invention. On a en effet illustré sur cette figure un système de pilotage d'au moins un organe fonctionnel de véhicule automobile désigné par la référence générale 1, qui comporte des moyens formant calculateur désignés par la référence générale 2, raccordés à cet organe pour assurer le contrôle du fonctionnement de celui-ci. Selon l'invention, les moyens formant calculateur comprennent un calculateur unique à processeurs multiples désignés par les références générales 3, 4 et 5, raccordés en parallèle à des moyens de supervision de ceux-ci et de ré-partition des tâches de traitement entre ceux-ci, ces moyens de supervision et de répartition étant désignés par la référence générale 6 sur cette figure. De plus, les différents processeurs 3, 4 et 5 comportent des moyens d'émission à destination de ces moyens de supervision et de répartition 6, d'une information d'état de fonctionnement ou de défaillance, afin de permettre à ces moyens de répartir les tâches de traitement entre les processeurs en état de fonctionnement. C'est ainsi par exemple que les processeurs 3, 4 et 5 sont raccordés aux moyens de supervision et de répartition 6 par l'intermédiaire d'une ligne, respectivement 7, 8 et 9, d'émission à destination de ces moyens de supervision et de répartition, d'un signal d'information d'état de fonctionnement ou de défail- lance de chaque processeur. Bien entendu, d'autres moyens de transmission peuvent être envisagés. En fonction de ces informations, les moyens de supervision et de répartition 6 sont alors aptes à répartir les tâches de traitement entre les différents 10 processeurs en état de fonctionnement. Dans le cas où l'un de ces processeurs est défaillant, les moyens formant calculateur sont alors adaptés pour passer en mode de fonctionnement dégradé. De même, ces moyens formant calculateur peuvent comprendre au moins un processeur de secours, tel que par exemple le processeur 5, destiné à remplacer un processeur défaillant, tel que par exemple le processeur 3 ou le processeur 4, pour assurer la tâche de traitement correspondante en cas de défaillance de celui-ci. Ainsi, un tel calculateur multiprocesseurs à sûreté de fonctionnement 20 permet d'utiliser la redondance de ressources de façon quasi transparente pour l'application. Un utilisateur du calculateur n'a plus alors qu'à définir par exemple quel processeur exécute une tâche et avec quelles ressources. II doit également définir cette répartition dans les différentes configurations de panne. Ainsi par exemple, si l'une des tâches de commande est assurée par un processeur, en cas de défaillance de celui-ci, cette tâche peut être prise en charge par le processeur de secours. Un dispositif de sûreté et de surveillance de fonctionnement est alors intégré directement dans la plateforme du calculateur et géré en interne. Ce dispositif de sûreté et de surveillance est alors intégré dans les couches basses du calculateur. Différentes applications d'un tel système peuvent être envisagées. Ainsi par exemple, l'organe fonctionnel peut être un système de freinage du véhicule ou encore un mécanisme de direction de celui-ci. Bien entendu, d'autres applications et d'autres modes de réalisation peuvent être envisagés. REVENDICATIONS 1. Système de pilotage d'au moins un organe fonctionnel (1) de véhicule automobile, comportant des moyens formant calculateur (2) raccordés à cet organe (1) pour assurer le contrôle du fonctionnement de celui-ci, caractérisé en ce que les moyens formant calculateur (2) comprennent un calculateur unique à processeurs multiples (3, 4, 5) raccordés en parallèle à des moyens (6) de supervision de ceux-ci et de répartition des tâches de traitement entre ceux-ci, les différents processeurs (3, 4, 5) comportant des moyens d'émission (7, 8, 9) à destination de ces moyens (6) de supervision et de répartition, d'une information d'état de fonctionnement ou de défaillance, afin de permettre à ces moyens (6) de répartir les tâches de traitement entre les processeurs (3, 4, 5) en état de fonctionnement. 2. Système selon la revendication 1, caractérisé en ce que les moyens formant calculateur (2) sont adaptés pour passer en mode de fonctionnement 15 dégradé en cas de défaillance d'un processeur (3, 4, 5). 3. Système selon la revendication 1 ou 2, caractérisé en ce que lesdits moyens formant calculateur (2) comprennent au moins un processeur de secours (5) destiné à remplacer un processeur défaillant (3, 4) pour assurer la tâche de traitement correspondante en cas de défaillance de celui-ci. 4. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que l'organe fonctionnel (1) est un système de freinage du véhicule. 5. Système selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'organe fonctionnel (1) est un mécanisme de direction du véhicule.