Brevet FR2934828A1 — publié le 20100212

Procédé de détection d'une rupture de liaison électronique dans un véhicule automobile. La présente invention concerne un procédé de détection d'une rupture de liaison électronique dans un véhicule automobile. Le procédé selon l'invention est par exemple directement applicable sur tout véhicule doté d'un système d'alarme activé pour la surveillance de l'intégrité de la liaison entre la sirène et le superviseur d'alarme. Il a essentiellement pour but de minimiser l'énergie électrique mise en jeu dans le véhicule pour détecter la rupture d'une telle liaison. Le domaine de l'invention est, d'une façon générale, celui de l'électronique automobile, plus particulièrement celui des réseaux électroniques embarqués au sein d'un véhicule automobile. De tels réseaux sont par exemple le réseau CAN (Controller Area Network), très utilisé dans le monde automobile. Le réseau CAN est un bus système série dont l'objectif initial est de réduire la quantité de câbles dans les véhicules. Le réseau CAN est relativement complexe. On a ainsi développé d'autres réseaux moins élaborés, notamment le réseau LIN (Local Interconnect Network). Le procédé selon l'invention est directement mis en oeuvre sur un réseau de type réseau LIN. Un tel réseau est caractérisé par un protocole de communication mono fil, de type maître-esclave, présentant un faible coût d'utilisation. Il est matériellement constitué d'un bus, dit bus LIN, qui relie des capteurs ou des actionneurs, et pour lequel une bande passante étendue n'est pas indispensable. Typiquement, le débit maximal peut atteindre 20 Kbits par seconde. Il est souvent utilisé pour faire l'interface entre différents capteurs et actionneurs d'un côté, et un bus considéré comme bus de plus haut niveau, comme le réseau CAN par exemple. L'ensemble de l'électronique et des réseaux électriques de nombreux véhicules est ainsi géré selon une architecture électronique et électrique (AEE) complexe. Il peut être nécessaire, pour répondre à des normes ou à un besoin fonctionnel, de surveiller en permanence l'intégrité d'une liaison électronique entre deux boîtiers reliés par un réseau LIN dans l'architecture électronique du véhicule. Dans l'état de la technique, avec le protocole LIN existant (version 1.3 ou 2.1), on réalise la surveillance de la liaison LIN entre le maître et un esclave par l'envoi périodique de trames, conformes au protocole LIN, par le calculateur maître, selon le mécanisme suivant : si le boîtier esclave ne reçoit pas la trame périodique en phase de veille réseau, et que le véhicule est dans un état de surveillance, alors la rupture de liaison est détectée et l'action prévue dans ce cas est déclenchée. Toutefois, la contrainte de temps de réponse du système(exemple : norme Thatcham pour les systèmes d'alarme) peut impliquer que le calculateur superviseur reste perpétuellement éveillé compte tenu du temps de mise en état de veille, désigné également comme état d'endormissement, de l'ensemble des couches mises en jeu au niveau du calculateur superviseur pour générer les trames identifiées dans le protocole LIN. Ceci a pour conséquence une consommation énergétique importante due à cet état. Cette solution est donc fonctionnellement valable mais induit une consommation électrique qui n'est pas acceptable compte tenu des objectifs de réduction des bilans énergétiques des véhicules. Une autre solution a été proposée pour réaliser la surveillance de l'intégrité de la liaison entre le capteur esclave et le calculateur maître. Cette solution consiste en l'envoi périodique d'un signal électrique en forme de créneau, ou pulse, sur le réseau LIN par les couches basses du calculateur maître, sans intervention des couches applicatives. Le signal périodique émis est ainsi un signal hors protocole LIN, c'est-à-dire un signal non préalablement défini dans ce protocole. L'utilisation d'un tel signal permet un gain de temps dans son élaboration, et laisse ainsi la possibilité au calculateur maître de repasser dans un état de veille, permettant ainsi de limiter la consommation électrique. Le boîtier esclave scrute le signal électrique et, s'il ne le reçoit pas, déclenche le fonctionnel associé à cette situation. Un mécanisme hardware est implémenté dans le boîtier esclave pour permettre à ce dernier de se rendormir, c'est-à-dire pour repasser dans un état de veille où la consommation électrique est diminuée par rapport à un état actif (état réveillé), après réception de ce signal et de limiter ainsi la consommation électrique du boîtier. Toutefois ce pulse doit être filtré par tous les autres esclaves du réseau LIN alimentés de façon permanente afin de ne pas perturber leur fonctionnement. Il est alors nécessaire de rajouter un mécanisme hardware à tous ces esclaves alimentés de façon permanente, parfois nombreux selon les architectures électriques électroniques des véhicules. Cette solution a donc un coût non acceptable par rapport au gain escompté en réduction de consommation électrique. L'objet de l'invention propose une solution au problème qui vient d'être exposé. L'invention concerne donc essentiellement un procédé de détection d'une rupture de liaison électronique dans un véhicule automobile, ladite liaison reliant notamment, au moyen d'un bus de communication de type bus LIN, un calculateur maître à un boîtier esclave, caractérisé en ce qu'il comporte les différentes étapes de contrôle consistant à : - émettre, depuis le calculateur maître vers le boîtier esclave, différents signaux de surveillance organisés notamment en une première séquence de surveillance composée de : - une impulsion pour mettre le boîtier esclave dans un état actif ; - un signal qui sera interprété par l'esclave comme une demande de mise en veille (à la différence de la demande de mise en veille du protocole LIN, ce signal n'est pas composé de trames) - en cas de non réception par le boîtier esclave d'au moins un des signaux de surveillance pendant une durée de surveillance préalablement déterminée, déclencher l'action attendue en cas de perte de la liaison. Outre les caractéristiques principales qui viennent d'être mentionnées dans le paragraphe précédent, le procédé selon l'invention peut présenter une ou plusieurs caractéristiques supplémentaires parmi les suivantes : - la période de surveillance T est liée au respect du besoin de surveillance. Par exemple T=ls dans le cas de la norme Thatcham s'appliquant aux systèmes d'alarme - les signaux de surveillance comportent une deuxième séquence de surveillance : les signaux de surveillance sont organisés en séquences de surveillance ; il peut ainsi y avoir deux séquences par période de surveillance ; - dans la séquence de surveillance, l'impulsion a une durée suffisante pour provoquer le réveil d'un boîtier esclave : le minimum correspond au seuil de détection du mot de réveil plus les tolérances associées, le maximum étant fixé par les contraintes de consommation d'énergie du système; une valeur typiquement utilisée sera 0,5 millisecondes ; - dans la séquence de surveillance, le signal a une durée mesurable par l'esclave en incluant ses tolérances tout en étant la plus courte possible pour minimiser la durée de veille de l'esclave et donc la consommation d'énergie associée; une valeur typiquement utilisée sera 3 millisecondes dans le cas d'application aux systèmes d'alarme. Ainsi, l'impulsion de la séquence de surveillance est un créneau de durée supérieure au seuil de détection du réveil d'un boîtier esclave LIN, tolérances incluses ; - les différentes étapes de contrôle ne sont mises 5 en oeuvre que si la scrutation de la liaison est activée au sein du véhicule. Tous les esclaves partageant la même liaison électronique LIN que celle qui est scrutée par ce mécanisme et qui sont alimentés de façon permanente 10 doivent héberger le même mécanisme pour limiter l'alimentation en veille de l'ensemble de l'architecture électrique électronique. Attention : si le temps de réveil d'un esclave (Tinit dans la norme LIN) est plus long que l'intervalle entre l'impulsion et le signal 15 d'une séquence de surveillance, l'esclave ne va pas pouvoir mesurer le signal et va resté éveillé au moins jusqu'à la séquence de surveillance suivante, ce qui augmente leur consommation d'énergie. Pour ce type d'esclave, il est préférable de prévoir une alimentation 20 commutée, ou de les placer sur une autre liaison électronique. L'invention sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparaîtront plus clairement dans la description 25 explicative qui va suivre faite en référence aux dessins schématiques annexés donnés uniquement à titre d'exemple, et dans lequel : - la figure 1 représente un organigramme illustrant l'enchaînement des actions faites par le calculateur 30 superviseur d'alarme, maître des actions ; - la figure 2 représente un chronogramme illustrant la forme et la fréquence des signaux de surveillance émis par le calculateur superviseur. Dans l'exemple illustré : 35 - le calculateur maître est par exemple un superviseur d'alarme - le calculateur esclave est par exemple un boîtier sirène Le procédé selon l'invention consiste à émettre, au moyen du calculateur maître, un double pulse de réveil/endormissement du boîtier esclave. Un exemple de séquencement de ces actions est illustré au moyen de l'organigramme de la figure 1. Lorsque la rupture de la liaison entre le superviseur et le boîtier sirène est détectée, une alarme du véhicule est déclenchée. Bien évidemment, l'alarme n'est déclenchée que si le véhicule est dans un état dit de surveillance, nécessitant la réalisation d'au moins deux conditions : la présence d'une alarme sur lé véhicule, et une situation adaptée au déclenchement d'une alarme (véhicule verrouillé, sans utilisateur à l'intérieur...). Dans cet exemple de mise en oeuvre, une première vérification de la nécessité de faire les actions de contrôle est faite, dans une première étape de décision 1, sur la présence de l'option alarme sur le véhicule. Si cette alarme n'est pas présente dans la configuration du véhicule alors le processus s'arrête. Par contre si l'alarme est présente, on vérifie, dans une deuxième étape de décision 2 si l'alarme est activée par l'utilisateur, ou éventuellement automatiquement. Si cette alarme est désactivée le processus s'arrête. Dans le cas où l'alarme est effectivement activée, on procède à l'émission des signaux de surveillance dans une étape suivante 3. Une temporisation est alors enclenchée ; dans une étape de décision suivante 4, on vérifie si un compte à rebours de la temporisation est arrivé à son terme. Dans l'affirmative, on vérifie de nouveau si l'alarme est toujours activée, et, dans l'affirmative, on procède à une émission des signaux de surveillance. Selon la norme Thatcham, la détection d'une rupture de liaison entre le capteur sirène et son superviseur doit s'effectuer en moins d'une seconde ; dans le cas d'une telle détection de rupture de liaison, on provoque un déclenchement physique de la sirène, la rupture étant interprétée comme une tentative de vol du véhicule. Afin d'être conforme à la norme Thatcham, le compte à rebours est défini de manière que deux séquences de surveillance soient émises chaque seconde, comme expliqué ultérieurement. Selon l'invention, comme illustré à la figure 2, les signaux de surveillance émis par le calculateur superviseur sont organisés en séquences de surveillance, chaque séquence de surveillance étant constituée d'une impulsion pour mettre le boîtier sirène dans un état actif, et d'un signal interprété comme une demande de mise en veille. L'impulsion est un signal défini dans le protocole LIN, alors que le signal de mise en veille n'est pas défini dans le protocole LIN. Ainsi, dans l'exemple représenté, une première séquence de surveillance 5 est constituée d'une première impulsion 6 et d'un premier signal 7 ; la première séquence de surveillance 5 est suivie par une deuxième séquence de surveillance 8 avec une deuxième impulsion 9 et un deuxième signal 10. Les deux séquences de surveillance sont émises en moins d'une seconde. Le boîtier sirène est en scrutation de signaux qu'il sait devoir recevoir au moins une fois par seconde. Si cette scrutation est ineffective (pas de réception du pulse de réveil lié à la surveillance), la sirène est activée. Si le signal de réveil est bien reçu, le boîtier sirène se réveille, jusqu'à ce que le signal d'endormissement soit reçu, permettant de ne pas laisser les sous-systèmes en état de veille, consommant ainsi de la puissance électrique. L'invention consiste donc à faire émettre par la couche basse d'un calculateur maître un double créneau asymétrique ; le premier pulse très court (car seul le front montant est actif) est détecté par l'Emetteur Récepteur de Ligne (ERL) et provoque le réveil du boîtier esclave alors que le deuxième signal est mesuré par l'esclave et interprété comme un ordre d'endormissement. Il est donc reçu par le boîtier esclave, et par les autres sous-systèmes connectés sur le réseau LIN, sans action autre que celle de l'endormissement des sous-systèmes éveillés, dont le boîtier esclave. L'invention tient compte des contraintes actuelles de l'architecture électronique où les ERL filtrent automatiquement tout pulse inférieur à un paramètre de conception, appelé � seuil de détection du réveil �, dont la valeur maximale est typiquement 150 microsecondes. L'invention, dans sa soumission actuelle, émet un pulse de durée suffisante pour dépasser le seuil de détection du réveil incluant les tolérances des composants (par exemple 500 microsecondes) et un signal répondant à la contrainte d'être mesurable par l'esclave (par exemple 3 millisecondes). Par ailleurs afin d'optimiser au maximum l'énergie électrique, la surveillance est désactivée si le véhicule ne nécessite pas de répondre à la norme ou au fonctionnel exigeant la scrutation, ou si l'option est présente mais désactivée. Dans le cas contraire l'ordre d'émission des signaux de surveillance n'est transmis par l'applicatif aux couches basses du calculateur superviseur qu'au moment de la mise en veille du réseau LIN. L'invention définit par ailleurs la fréquence d'émission de la séquence de surveillance à deux fois par période de surveillance pour garantir le non déclenchement intempestif de l'action associée à la rupture de liaison. Ce déclenchement intempestif pourrait se produire lors du réveil du calculateur maître (une interruption de l'ordre de 300 millisecondes de l'émission de la séquence de surveillance pouvant alors se produire), lors de la réinitialisation du calculateur maître ou lors d'un filtrage de réception de la séquence de surveillance par le boîtier esclave. REVENDICATIONS1. Procédé de détection d'une rupture de liaison électronique dans un véhicule automobile, ladite liaison reliant notamment, au moyen d'un bus de communication de type bus LIN, un calculateur maître à un boîtier esclave, caractérisé en ce qu'il comporte les différentes étapes de contrôle consistant à : - émettre (3), depuis le calculateur maître vers le boîtier esclave, différents signaux de surveillance organisés notamment en une première séquence de surveillance (5) composée de : - une impulsion (6) pour mettre le boîtier esclave dans un état actif ; - un signal qui sera interprété par l'esclave comme une demande de mise en veille ; - en cas de non réception par le boîtier esclave d'au moins un des signaux de surveillance pendant une durée de surveillance préalablement déterminée, déclencher une action prévue en cas de rupture de la liaison. 2. Procédé selon la revendication précédente caractérisé en ce que les signaux de surveillance comportent une deuxième séquence de surveillance (8). 3. Procédé selon l'une au moins des revendications 1 à 2 caractérisé en ce que l'impulsion (6) de la séquence de surveillance est un créneau de durée supérieure au seuil de détection du réveil d'un boîtier esclave LIN, tolérances incluses 4. Procédé selon l'une au moins des revendications 1 à 3 caractérisé en ce que les différentes étapes de contrôle ne sont mises en oeuvre que si une la scrutation de la liaison est activée au sein du véhicule.