Brevet FR2938950A1 — publié le 20100528

PROCEDE DE PROTECTION CONTRE LE DECLENCHEMENT INOPPORTUN D'UNE FONCTION DE PILOTAGE D'UN ORGANE FONCTIONNEL D'UN VEHICULE AUTOMOBILE. La présente invention concerne un procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel d'un véhicule automobile. Les véhicules actuels sont de plus en plus équipés de calculateurs, également appelés unités de contrôle électroniques (UCE), contribuant notamment à renforcer le confort et la sécurité du véhicule et de ses occupants, par l'intermédiaire d'une multitude de fonctions logicielles. Lors de la fabrication du véhicule en usine de production, certaines unités de contrôle électroniques nécessitent, après montage, une exécution d'une suite d'instructions internes permettant la mise en service du système dont ils font partie ; un tel système est par exemple le calculateur ABS d'un système de freinage. Dans le cas d'un calculateur ABS, la séquence de pilotage des électrovannes du bloc hydraulique est activée lors de l'envoi d'une requête à l'UCE au moyen d'un outil de diagnostic extérieur au moment où le véhicule passe au poste de remplissage du circuit hydraulique de freinage. D'une façon générale, les suites d'instructions exécutables, appelées également routines, agissent directement sur les actionneurs des systèmes et doivent être activées uniquement lors de situations de vie du véhicule bien précises, comme par exemple en usine ou encore en service après-vente et uniquement sur requête de l'outil de diagnostic lorsque celui-ci est connecté au véhicule. Cependant, ces routines, résidant dans la mémoire de l'UCE, pendant la durée de vie du véhicule, peuvent être confrontées à une activation accidentelle, c'est-à-dire sans connexion d'un outil de diagnostic ; une telle activation accidentelle intervient par exemple à la suite d'un déroutement de programme causé par une perturbation de type électromagnétique. En effet, un véhicule est amené, lors de ses déplacements, à traverser diverses zones pouvant présenter des perturbations électromagnétiques plus ou moins importantes, comme par exemple les milieux industriels, les abords des aéroports civils et militaires ou encore les zones proches des relais radio/Tv. Aux perturbations de type électromagnétiques s'ajoute également le rayonnement cosmique bombardant de façon continue la planète et dont certaines particules ionisantes parviennent à traverser l'atmosphère terrestre et sont susceptibles de venir perturber le fonctionnement du microprocesseur de l'UCE. Ainsi dans un environnement actuel où le nombre de transmetteurs sans fil augmente de façon exponentielle, il devient indispensable de prendre en compte ce facteur de défaillance des UCE et de renforcer les protections contre des émissions perturbatrices extérieures susceptibles de provoquer un déclenchement intempestif d'une fonction de pilotage d'un organe fonctionnel d'un véhicule automobile. Lorsque qu'une perturbation extérieure affecte le déroulement normal d'un programme en cours d'exécution, cette perturbation risque de dérouter ce programme vers une adresse particulière de la mémoire de l'UCE. En outre, l'adresse pourrait être, dans le pire des cas, l'adresse correspondant à une instruction dont l'exécution à un moment inopportun présente un danger pour la sécurité des personnes et/ou du matériel. Afin de répondre à ce problème, on connait des dispositifs comportant un blindage physique du boitier de l'UCE apte à l'isoler des rayonnements perturbateurs extérieurs. Cependant, le blindage du boitier présente de nombreux inconvénients. En effet, l'étude de compatibilité électromagnétique coûteuse est systématiquement remise en question lors de l'évolution des composants électroniques et/ou de la forme du boitier de l'UCE ; l'ajout de matière supplémentaire pour le blindage métallique a de plus un impact économique non négligeable ainsi qu'un impact sur la masse du véhicule ; l'efficacité du blindage est limitée à une gamme de fréquences bien précise ; la taille des trous et des fentes du boitier, devant rester inférieure à la longueur d'onde du rayonnement à bloquer, engendre des contraintes pour le passage des connecteurs dans le boitier. On connait également une deuxième solution consistant à : - télécharger temporairement la routine dans la mémoire volatile, ou mémoire RAM, de l'UCE ; - exécuter la routine sur la ligne de production, avant la sortie d'usine ; - faire disparaitre la routine à la coupure du contact. Cette solution permet d'éviter le déclenchement inopportun d'une instruction critique en clientèle. Cependant, cette deuxième solution nécessite de la part du constructeur automobile de diffuser largement les fichiers comportant les routines dans l'ensemble du réseau après-vente pour la remise en route de l'UCE en cas d'intervention sur le système dont elle fait partie ou bien pour la mise en service d'une nouvelle UCE lorsque celle-ci a été remplacée. Cette solution se révèle très coûteuse par : - la création de fichiers à facturer par le fournisseur ; - une gestion des références associées aux fichiers 30 dans un système d'information centralisé consultable en après-vente ; - une mise en place d'une gestion de compatibilité entre les fichiers et les logiciels embarqués dans l'UCE afin d'éviter toutes erreurs en service après-vente. 35 Dans ce contexte, l'invention vise à fournir un procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel d'un véhicule automobile permettant de garantir une protection contre le déclenchement d'une fonction de pilotage critique à un moment inopportun. A cette fin, l'invention propose un procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel d'un véhicule automobile mis en oeuvre par une unité de contrôle électronique associée à une mémoire volatile et à une mémoire non-volatile caractérisé en ce qu'il comporte pour une exécution de la fonction de pilotage : - une étape de réception d'une signature d'un outil externe émettant une requête d'exécution de ladite fonction de pilotage, et de stockage de la signature dans ladite mémoire volatile ; - une étape de vérification de la présence de la signature dudit outil dans ladite mémoire volatile ; une étape de décodage des instructions de la fonction de pilotage présente dans ladite mémoire non-volatile et de chargement desdites instructions décodées dans ladite mémoire volatile ; - une étape d'exécution desdites instructions décodées chargées dans ladite mémoire volatile. Selon un mode de mise en oeuvre particulier, le procédé est tel qu'il comporte l'étape consistant à supprimer lesdites instructions décodées de ladite mémoire volatile. Selon un mode de mise en oeuvre particulier, le procédé est tel qu'il comporte l'étape consistant à envoyer un signal d'acquittement audit outil externe. Selon un mode de mise en oeuvre particulier, le procédé est tel que lesdites étapes d'exécution de ladite fonction de pilotage sont entrecoupées périodiquement par une étape de recharge de moyens de décomptage. Selon un mode de mise en oeuvre particulier, le procédé est tel qu'il comporte l'étape consistant à réinitialiser l'unité de contrôle électronique lorsque lesdits moyens de décomptage ne sont pas rechargés avant une durée préalablement déterminée. Selon un mode de mise en oeuvre particulier, le procédé est tel qu'il comporte l'étape consistant à encoder lesdites instructions de ladite fonction de pilotage et à stocker lesdites instructions dans ladite mémoire non-volatile. Selon un mode de mise en oeuvre particulier, le procédé est tel que l'étape consistant à encoder lesdites instructions comporte une opération d'encodage par inversion de bit. L'invention a également pour objet un dispositif comportant des moyens pour la mise en oeuvre du procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel selon l'invention. D'autres caractéristiques et avantages de l'invention ressortiront plus clairement de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles : - la figure 1 est un schéma fonctionnel d'un exemple de dispositif mettant en oeuvre un procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel selon l'invention ; - la figure 2 est un schéma fonctionnel d'un exemple de mise en oeuvre du procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel selon l'invention. La figure 1 est un schéma fonctionnel d'un dispositif 100 mettant en oeuvre le procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel selon l'invention. Le dispositif 100 est une unité de contrôle électronique (UCE) comportant : - une mémoire non volatile 5 réinscriptible ou non, agencée de façon à comporter un programme applicatif dédiant l'UCE 100 à un usage particulier, par exemple le contrôle d'un système de freinage, - un microprocesseur 3 apte à exécuter le programme stocké dans la mémoire non volatile 5 par l'intermédiaire d'un bus interne 2 ; le microprocesseur 3 regroupant les composants usuels nécessaires à l'exécution d'un programme comme par exemple : une unité arithmétique et logique, un compteur de programme, un décodeur d'instructions, une pile à plusieurs niveaux, des registres d'état ainsi que le microprogramme nécessaire au fonctionnement du microprocesseur ; - une mémoire volatile 6, par exemple de type mémoire RAM, accessible en lecture et en écriture à tout moment pendant le fonctionnement de l'UCE 100 agencée de manière à contenir les données écrites par le programme applicatif pendant le fonctionnement de l'UCE 100 ; - des moyens d'entrée/sortie 7 permettant au microprocesseur 3 de communiquer avec un outil externe 9, de type outil de diagnostic ; l'outil de diagnostic 9 pouvant être connecté lors de différentes situations de vie du véhicule telles que par exemple en bord de ligne de montage, sur un plateau de retouche ou encore en après-vente ; les moyens d'entrée/sortie 7 communiquant au moyen d'une ligne de communication 8 de type liaison série, de type ligne K ou encore de type bus multiplexé de transmission d'informations, comme par exemple un bus CAN (Controller Area Network) ; - des moyens logiciels ou matériels 4 connus sous l'appellation chien de garde comportant un décompteur automatique devant être rechargé de façon périodique à une valeur maximale par le programme figurant dans la mémoire non volatile 5, de sorte que si le microprocesseur 3 ne parvient plus à exécuter correctement le programme, les instructions de rechargement des moyens 4 chien de garde ne sont plus exécutées ce qui provoque alors un décomptage du contenu du décompteur jusqu'à zéro induisant une réinitialisation de l'UCE 100 et le programme figurant dans la mémoire non volatile 5 redémarre. Le microprocesseur 3 communique avec chacun des éléments de l'UCE décrits précédemment au moyen du bus interne 2. Selon un second mode de réalisation de l'invention, les mémoires 5 et 6 ainsi que le microprocesseur 3 sont remplacés par un composant de type ASIC (Application Specific Integrated Circuit), c'est-à-dire un circuit intégré électronique conçu spécialement pour une application particulière. Lors de la connexion de l'outil de diagnostic 9, l'outil émet une requête de pilotage au moyen de la ligne de communication 8. A la réception de la requête de l'outil de diagnostic 9, la signature de l'outil est stockée à une adresse de la mémoire volatile 6 et les moyens d'entrée/sortie 7 indiquent au microprocesseur 3 de lancer une exécution de la routine de pilotage de l'organe fonctionnel. La routine de pilotage est exécutée uniquement lorsque le microprocesseur 3 a vérifié au préalable la présence de la signature de l'outil 9 à l'adresse prévue à cet effet de la mémoire volatile 6. La signature de l'outil est par exemple un code numérique propre à l'outil de diagnostique 9 ou à un groupe d'outils permettant à l'UCE de vérifier la présence d'un outil de diagnostic et/ou d'identifier l'outil connecté aux moyens d'entrée/sortie 7. La routine de pilotage se présente sous la forme d'un programme principal constitué d'une suite d'appels à des sous-programmes qui sont chacun dédiés à l'exécution d'un traitement ou pilotage particulier de courte durée. Le microprocesseur 3 exécute les instructions du programme principal de manière séquentielle. Il dispose pour cela d'un registre appelé compteur de programme qui indique à chaque instant la prochaine instruction à exécuter. Chaque octet du programme est lu puis décodé afin de connaitre à quelle instruction il correspond. Le microprocesseur 3 exécute l'instruction et incrémente le compteur de programme pour qu'il pointe sur l'instruction suivante. Lorsque l'instruction correspond à l'appel d'un sous-programme, le microprocesseur 3 sauve l'adresse de l'instruction appelante sur la pile, avant l'exécution du sous-programme. On entend par pile, une structure de données, organisée en liste, dans laquelle les informations sont rangées dans une mémoire, les unes sur les autres, dans l'ordre où elles arrivent. Lorsque le sous-programme se termine, il rend le contrôle au programme principal en invitant le 10 microprocesseur 3 à lire l'adresse de l'instruction qui a provoqué l'exécution du sous-programme se trouvant au sommet de la pile. Le microprocesseur 3 exécute alors l'instruction suivante figurant après l'instruction récupérée sur la pile. De cette façon, les sous-15 programmes s'enchainent dans l'ordre jusqu'à la fin du programme principal. La figure 2 est un schéma fonctionnel d'un exemple de mise en oeuvre du procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un 20 organe fonctionnel selon l'invention. Le procédé selon l'invention comporte : - une étape 11 de réception d'une requête de l'outil de diagnostic 9 ; - une étape 12 de recharge des moyens 4 chien de 25 garde ; - une étape 13 d'appel d'un sous-programme A testant la présence d'un outil de diagnostic 9 connecté : si le test n'est pas valide, le programme est stoppé ; - une étape 14 de recharge des moyens 4 chien de 30 garde ; - une étape 15 d'appel d'un sous-programme B de décodage des instructions de la routine et de chargement des instructions dans la mémoire volatile 6 ; - une étape 16 de recharge des moyens 4 chien de 35 garde ; - une étape 17 d'appel d'un sous-programme C d'exécution des instructions chargées dans la mémoire volatile 6 ; - une étape 18 de recharge des moyens 4 chien de garde ; une étape 19 d'appel d'un sous-programme D d'effacement des instructions chargées dans la mémoire volatile 6 ; - une étape 20 de recharge des moyens 4 chien de garde ; - une étape 21 d'appel d'un sous-programme E d'envoi d'une réponse positive à l'outil de diagnostique 10 indiquant le bon déroulement du programme. Le procédé selon l'invention comporte un premier niveau de sécurité contre le déclenchement inopportun de la routine de pilotage par la décomposition des séquences de pilotage en différentes phases de très courte durée et 15 entrecoupées périodiquement par une reprise de contrôle du programme principal afin de recharger les moyens 4 chien de garde. Un des critères de performances de cette solution consiste à minimiser au maximum le temps nécessaire aux 20 moyens 4 chien de garde pour détecter un problème ; le réglage de la valeur maximale chargée dans lesdits moyens 4 chien de garde est défini en fonction de la fréquence de la base de temps de l'UCE et de la durée maximale d'exécution d'un sous-programme. 25 Le procédé selon l'invention comporte un deuxième niveau de sécurité contre le déclenchement inopportun de la routine de pilotage consistant à stocker la routine la plus dangereuse, c'est-à-dire la routine agissant sur les actionneurs de l'organe fonctionnel, sous la forme d'une 30 routine encodée dans la mémoire non volatile 5. La routine est décodée puis chargée dans la mémoire volatile 6 par le sous-programme B, afin d'y être exécutée lors de l'exécution du sous-programme C par le microprocesseur 3. De cette façon, si le compteur de programme est amené à 35 pointer accidentellement une zone de la mémoire non volatile 5 contenant la routine encodée, le microprocesseur 3 sera dans l'incapacité d'interpréter les instructions de la routine encodée. Cette situation de blocage non dangereuse sera ainsi rapidement détectée par les moyens 4 chien de garde qui provoqueront une réinitialisation immédiate de l'UCE. Un sous-programme de nettoyage de la mémoire volatile 6 est exécuté à la fin du pilotage des actionneurs afin de se protéger contre un éventuel déroutement du programme vers une adresse de la mémoire volatile 6 contenant temporairement la routine décodée et survenant entre la fin du pilotage et la coupure de l'alimentation de l'UCE. Le type d'encodage n'est pas critique, puisque le but de l'encodage est uniquement de rendre illisible pour le microprocesseur 3 en logique câblée les instructions de la routine. Par exemple, une fonction logicielle de type inverseur est suffisante pour l'encodage et le décodage de la routine ; par exemple le 0 est remplacé par 1 et le 1 est remplacé par O. Dans les situations où une perturbation branche le compteur de programme sur un sous-programme en particulier, le microprocesseur 3 exécute le sous-programme puis tente de rendre le contrôle au programme principal. Pour cela, le microprocesseur 3 va lire l'instruction sur la dernière couche de la pile. Comme l'adresse de l'instruction n'a pas été sauvée sur la pile, le microprocesseur 3 récupère une valeur aléatoire et le microprocesseur 3 va tenter vainement d'interpréter cette instruction, ce qui entraine une situation de blocage dans l'exécution du programme. Les moyens 4 chien de garde n'étant plus rechargés, ils provoquent une réinitialisation immédiate de l'UCE. Cette réinitialisation de l'UCE permet ainsi de sécuriser le dispositif et de maitriser le temps de réinitialisation de l'UCE, réalisé dans les plus brefs délais. Le procédé permet ainsi d'éviter un déclenchement inopportun d'une routine de pilotage d'un organe fonctionnel quelle que soit la situation générée par une perturbation extérieure et quels que soient les branchements intempestifs du compteur de programme générés par ces perturbation extérieures. Les différents branchements possibles interférant avec le bon déroulement du programme sont illustrés sur la figure 2 illustrant les différentes étapes du procédé selon l'invention. Ainsi lorsqu'une perturbation exécute le programme au niveau des branchements P1 ou P2, le programme lance le traitement de la demande de pilotage des actionneurs, de façon similaire à la requête de l'outil de diagnostique 9, le test de vérification de la présence dans la mémoire volatile 6 de la présence de la signature outil échoue car aucun outil de diagnostique n'est branché. Le traitement du programme principal s'achève alors sans effet sur les actionneurs. Lorsque qu'une perturbation exécute le programme au niveau d'un branchement P3, le programme recharge les moyens 4 puis exécute le sous-programme B de décodage des instructions de la routine encodée et de charge des instructions décodées sur la mémoire volatile 6 de l'UCE ; l'exécution du sous-programme B n'agissant pas en tant que tel sur les actionneurs. Au moment de rendre le contrôle au programme principal, le microprocesseur 3 récupère une valeur d'adresse aléatoire présente sur la pile qui ne correspond pas à l'instruction précédente ce qui entraine une situation de blocage dans le déroulement de programme principal. Les moyens 4 chien de garde n'étant pas rechargés, ils réinitialisent l'UCE en effaçant automatiquement les instructions décodées par l'exécution du sous-programme B et chargées sur la mémoire volatile 6. Une perturbation exécutant le programme au niveau d'un branchement P4 intervient après le chargement des moyens 4 chien de garde. Le comportement de l'UCE sera identique au comportement décrit précédemment, l'UCE est réinitialisée. Cependant, les moyens 4 chien de garde n'étant pas rechargés à l'étape 14, le temps de réaction sera réduit par rapport à une perturbation exécutant le programme au niveau du branchement P3. Une perturbation exécutant le programme au niveau d'un branchement P5 recharge les moyens 4 chien de garde puis exécute le sous-programme C d'exécution des instructions présentes dans la mémoire volatile 6. Cependant, la routine de pilotage n'ayant pas été décodée et chargée dans la mémoire volatile 6, le microprocesseur 3 lit des instructions composées de valeurs aléatoires ne pouvant pas être interpréter correctement, ce qui provoque une situation de blocage dans le déroulement de programme principal. Les moyens 4 chien de garde n'étant pas rechargés, ils réinitialisent l'UCE. Une perturbation exécutant le programme au niveau d'un branchement P6 intervient après le chargement des moyens 4 chien de garde. Le comportement de l'UCE sera identique au comportement décrit précédemment, l'UCE est réinitialisée. Cependant, les moyens 4 chien de garde n'étant pas rechargés à l'étape 16, le temps de réaction sera réduit par rapport à une perturbation exécutant le programme au niveau du branchement P5. Une perturbation exécutant le programme au niveau d'un branchement P7 recharge les moyens 4 chien de garde puis exécute le sous-programme D de nettoyage de la mémoire volatile 6, sans effet sur les actionneurs. Au moment de rendre le contrôle au programme principal, le microprocesseur 3 récupère sur la pile une valeur d'adresse aléatoire ne correspondant pas à l'instruction précédente, le sous-programme D n'ayant pas été appelé par le programme principal, ce qui entraine une situation de blocage dans le déroulement de programme principal. Les moyens 4 chien de garde n'étant pas rechargés, ils réinitialisent l'UCE. Une perturbation exécutant le programme au niveau d'un branchement P8 intervient après le chargement des moyens 4 chien de garde. Le comportement de l'UCE sera identique au comportement décrit précédemment, l'UCE est réinitialisée. Cependant, les moyens 4 chien de garde n'étant pas rechargés à l'étape 18, le temps de réaction sera réduit par rapport à une perturbation exécutant le programme au niveau du branchement P7. Une perturbation exécutant le programme au niveau d'un branchement P9 exécute le sous-programme E d'envoi d'une réponse positive à l'outil de diagnostic 9. L'exécution du sous-programme E est sans effet car aucun outil de diagnostique 9 n'est connecté au dispositif 100. Au moment de rendre le contrôle au programme principal, le microprocesseur 3 récupère sur la pile une valeur d'adresse aléatoire ne correspondant pas à l'instruction précédente, le sous-programme E n'ayant pas été appelé par le programme principal, ce qui entraine une situation de blocage dans le déroulement de programme principal. Les moyens 4 chien de garde n'étant pas rechargés, ils réinitialisent l'UCE. Une perturbation exécutant le programme au niveau d'un branchement P10 intervient après le chargement des moyens 4 chien de garde. Le comportement de l'UCE sera identique au comportement décrit précédemment, l'UCE est réinitialisée. Cependant, les moyens 4 chien de garde n'étant pas rechargés à l'étape 20, le temps de réaction sera réduit par rapport à une perturbation exécutant le programme au niveau du branchement P9. Enfin si une perturbation exécute le compteur de programme au niveau d'une adresse se trouvant au milieu de l'un des sous-programmes A, B, C, D, E, alors soit l'octet lu par le microprocesseur 3 correspond à une instruction interprétable, auquel cas on se retrouve dans l'une des situations décrites précédemment, de P1 à P10 ; soit l'octet lu par le microprocesseur 3 ne correspond à aucune instruction interprétable, alors le blocage du programme est détecté par les moyens 4 chien de garde provoquant une réinitialisation de l'UCE. Ainsi, le procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon l'invention permet d'améliorer la protection contre le déclenchement en clientèle de la routine de pilotage d'un organe fonctionnel tel que par exemple des actionneurs, et dont le déclenchement est normalement réservé uniquement aux opérations de montage et aux opérations de maintenance en après-vente. Le procédé selon l'invention permet également de s'affranchir d'un déploiement coûteux de fichiers comportant des routines de pilotage dans le réseau après-vente du constructeur. Quel que soit l'endroit du programme où la perturbation active le compteur de programme, le procédé selon l'invention permet de garantir l'inactivation des actionneurs en clientèle ainsi qu'une restitution rapide de la disponibilité du dispositif. Le procédé selon l'invention assure une protection contre des perturbations d'origines extérieures ainsi que contre des déficiences du programme interne, comme par exemple un événement imprévu ne pouvant pas être pris correctement en compte par le programme. Les autres avantages de l'invention sont notamment les suivants : amélioration de l'image de marque du véhicule par l'augmentation de la sécurité ; amélioration de la qualité perçue par le client ; niveau de protection élevé permettant l'obtention de certification d'organismes d'homologation ; réduction des coûts de réalisation. REVENDICATIONS1. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel d'un véhicule automobile mis en oeuvre par une unité de contrôle électronique (100) associée à une mémoire volatile (6) et à une mémoire non-volatile (5) caractérisé en ce qu'il comporte pour une exécution de la fonction de pilotage : - une étape (11) de réception d'une signature d'un outil externe (9) émettant une requête d'exécution de ladite fonction de pilotage, et de stockage de la signature dans ladite mémoire volatile (6) ; - une étape (13) de vérification de la présence de la signature dudit outil dans ladite mémoire volatile (6) ; - une étape (15) de décodage des instructions de la fonction de pilotage présente dans ladite mémoire non-volatile (5) et de chargement desdites instructions décodées dans ladite mémoire volatile (6) ; une étape (17) d'exécution desdites instructions décodées chargées dans ladite mémoire volatile (6). 2. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon la revendication 1 caractérisé en ce qu'il comporte l'étape consistant à supprimer lesdites instructions décodées de ladite mémoire volatile (6). 3. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon l'une des revendications 1 à 2 caractérisé en ce qu'il comporte l'étape consistant à envoyer un signal d'acquittement audit outil externe (9). 4. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon l'une des revendications 1 à 3 caractérisé en ce que lesdites étapes d'exécution de ladite fonction de pilotage (11, 13, 15, 17, 19, 21) sont entrecoupées périodiquement par une étape de recharge (12, 14, 16, 18, 20) de moyens de décomptage (4). 5. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon la revendication 4 caractérisé en ce qu'il comporte l'étape consistant à réinitialiser l'unité de contrôle électronique (100) lorsque lesdits moyens de décomptage (4) ne sont pas rechargés avant une durée préalablement déterminée. 6. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon l'une des revendications 1 à 5 caractérisé en ce qu'il comporte l'étape consistant à encoder lesdites instructions de ladite fonction de pilotage et à stocker lesdites instructions dans ladite mémoire non-volatile (5). 7. Procédé de protection contre le déclenchement inopportun d'une fonction de pilotage selon la revendication 6 caractérisé en ce que l'étape consistant à encoder lesdites instructions comporte une opération d'encodage par inversion de bit. 8. Dispositif caractérisé en ce qu'il comporte des moyens pour la mise en oeuvre d'un procédé de protection contre le déclenchement inopportun d'une fonction de pilotage d'un organe fonctionnel selon l'une des revendications 1 à 7.