Brevet FR2978407A1 — publié le 20130201

DISPOSITIF DE CONTRÔLE SÉCURISÉ DU FONCTIONNEMENT D'UNE BOÎTE DE VITESSES À DEUX EMBRAYAGES, EN FONCTION, AU MOINS, DES POSITIONS EFFECTIVES DE CES DEUX EMBRAYAGES L'invention concerne les dispositifs qui sont destinés à contrôler le fonctionnement des boîtes de vitesses à deux embrayages (ou double embrayage ou encore en anglais DCT « Dual Clutch Transmission »), et notamment (mais non limitativement) celles qui équipent certains véhicules, 1 o éventuellement de type automobile. Comme la sait l'homme de l'art, une boîte de vitesses du type précité comporte des premier et second arbres primaires (concentriques ou indépendants) associés respectivement à des premier et second embrayages, des premier et second arbres secondaires qui sont couplés à un 15 différentiel, et des paires de pignons, dits « menant » et « récepteur », installées entre les premier et second arbres primaires et les premier et second arbres secondaires et définissant les rapports de vitesses. Un pignon menant est chargé d'appliquer le couple d'un arbre primaire associé au pignon récepteur associé qui est disposé sur l'arbre secondaire associé. 20 Lorsque l'on veut changer de rapport (ou vitesse), on passe d'un rapport dit sortant (d'un arbre primaire, alors dit sortant) à un rapport dit entrant de l'autre arbre primaire (alors dit entrant) en contrôlant le fonctionnement de leurs embrayages respectifs au moyen d'un calculateur comportant un dispositif de contrôle et parfois appelé en anglais « Dual Clutch 25 Transmission Control Unit ». Ces dispositifs de contrôle comprennent généralement des moyens de contrôle chargés de toutes les stratégies applicatives et notamment de déterminer des commandes pour des actionneurs de la boîte de vitesses (notamment des électrovannes, des pompes, et un frein de parking) en 30 fonction de signaux d'entrée qui sont représentatifs notamment de mesures de positions des embrayages, et des moyens de surveillance agencés pour surveiller le fonctionnement de ces moyens de contrôle. Les moyens de contrôle sont généralement agencés sous la forme d'un microcontrôleur dit principal. Les moyens de surveillance sont généralement agencés sous la forme d'un microcontrôleur dit de surveillance (ou en anglais « watchdog »). Afin d'éviter autant que possible que l'on se retrouve dans des situations non désirables dans lesquelles les premier et second arbres primaires sont simultanément engagés sur des rapports différents, il a été proposé que les moyens de contrôle et moyens de surveillance précités mettent en oeuvre une architecture de sécurisation à trois niveaux, basée sur le concept connu sous l'expression anglaise « E-Gas Monitoring ». Le niveau 1 est habituellement de type logiciel (ou software). Il est implémenté dans le microcontrôleur principal, détermine les commandes des actionneurs de la boîte de vitesses en fonction de différents signaux d'entrée (comme par exemple les positions des embrayages et des signaux transitant sur le réseau de communication embarqué), et effectue des diagnostics de base (notamment électriques). Le niveau 2 est habituellement de type logiciel (ou software). Il est implémenté dans le microcontrôleur principal, fonctionnellement indépendant du niveau 1 (pas de tâches communes, mémoires sécurisées dédiées), et est chargé de surveiller la bonne exécution des taches à caractère sécuritaire qui doivent être effectuées par le niveau 1. Il acquiert des signaux d'entrée critiques afin de déterminer des signaux de sortie, et compare ces derniers aux signaux de sortie que délivre le niveau 1. Il est en outre chargé de « mettre en sécurité » la boîte de vitesses en cas de détection d'une incohérence dans le niveau 1, de façon autonome. Ce niveau 2 effectue une surveillance dite « fonctionnelle ». Le niveau 3 est habituellement à la fois de type logiciel (ou software) et de type matériel (ou hardware). Il comprend généralement un logiciel implémenté pour une petite partie dans le microcontrôleur principal et pour la partie complémentaire (la plus importante) dans un microcontrôleur de surveillance dédié. Il est chargé de surveiller l'intégrité des ressources matérielles (ou « hardware ») du microcontrôleur principal au moyen d'un jeu de questions-réponses et de tests spécifiques (comme par exemple des comparaisons d'horloge, des contrôles de flots de programme (ou « Program Flow Check », et des tests de l'unité arithmétique et logique (ou ALU) du microcontrôleur principal). Ce niveau 3 effectue une surveillance dite matérielle. Dans certains domaines, comme par exemple celui des véhicules automobiles, les calculateurs applicatifs peuvent être classés en fonction des risques de sécurité que leurs décisions peuvent occasionner pour des passagers. Par exemple, la cotation des risques peut être subdivisée en quatre groupes différenciés par leur niveau de gravité de G1 à G4 (G1 correspondant aux risques présentant les effets les moins sévères et G4 correspondant aux risques menaçant la sécurité du conducteur, des passagers et ou de leur environnement). La norme ISO 26262 subdivise le groupe G4 en fonction de trois critères (taux d'exposition au risque, contrôlabilité par le conducteur en cas d'apparition de la défaillance, et gravité des effets de cette défaillance en terme de conséquences sur les passagers) en quatre sous-groupes ASIL A à ASIL D (ASIL A correspondant aux risques les moins élevés et ASIL D correspondant aux risques les plus élevés, comme par exemple le blocage intempestif des roues d'un véhicule roulant). L'architecture de sécurisation présentée plus haut est adaptée à la sécurisation du fonctionnement de calculateurs dont les décisions sont de nature à induire des risques cotés ASIL A, ASIL B ou ASIL C, selon la norme ISO 26262. Mais, elle s'avère insuffisante pour sécuriser le fonctionnement de calculateurs pouvant induire des risques cotés ASIL D. L'invention a pour but de diminuer la probabilité que les deux embrayages d'une boîte de vitesses à double embrayage se retrouvent simultanément dans leur position embrayée (ou fermée) en raison d'une décision erronée prise par le dispositif de contrôle qui lui est associé et qui met en oeuvre une architecture de sécurisation à trois niveaux, du type présenté ci-avant. Elle propose notamment à cet effet un dispositif, dédié au contrôle du fonctionnement d'une boîte de vitesses à deux embrayages, et comprenant des moyens de contrôle agencés pour déterminer des commandes pour des actionneurs de la boîte de vitesses en fonction de signaux d'entrée qui sont représentatifs notamment de mesures de positions des embrayages, et des moyens de surveillance agencés pour surveiller le fonctionnement de ces moyens de contrôle. Ce dispositif de contrôle se caractérise par le fait qu'il comprend en outre des moyens de surveillance auxiliaires qui sont agencés, d'une part, pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position correspondante, et, d'autre part, pour générer une commande pour des actionneurs de la boîte de vitesses, propre à placer chacun des embrayages dans sa position de débrayage, lorsque ces embrayages sont simultanément dans leur position d'embrayage. Le dispositif de contrôle selon l'invention peut comporter d'autres caractéristiques qui peuvent être prises séparément ou en combinaison, et notamment : - ses moyens de surveillance auxiliaires peuvent être agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position correspondante et d'une estimation d'un point de léchage correspondant déterminée par les moyens de contrôle ; - ses moyens de surveillance auxiliaires peuvent être agencés pour effectuer leurs déterminations des positions des embrayages de façon périodique. Dans ce cas, ses moyens de surveillance auxiliaires peuvent être agencés pour déterminer lors de chaque période si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position en cours correspondante et d'une estimation valide du point de léchage correspondant déterminée par ses moyens de contrôle MC lors d'une phase précédente d'utilisation de la boîte de vitesses ; - ses moyens de surveillance auxiliaires peuvent être agencés pour stocker lors de la phase en cours d'utilisation de la boîte de vitesses les estimations des points de léchage déterminées lors de la phase d'utilisation précédente, en remplacement d'estimations valides des points de léchage précédemment stockées, lorsque ces premières sont compatibles avec ces dernières ; - ses moyens de surveillance auxiliaires peuvent être agencés pour construire des seuils à partir de chacune des estimations valides des points de léchage, et pour décider qu'un embrayage est dans sa position d'embrayage lorsque la mesure de position correspondante est strictement supérieure au seuil construit correspondant ; - il peut comprendre des moyens de gestion agencés pour n'autoriser le transfert des estimations des points de léchage, de ses moyens de contrôle vers ses moyens de surveillance auxiliaires, que lorsqu'au 1 o moins une condition choisie est satisfaite ; - ses moyens de surveillance auxiliaires peuvent être agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction d'au moins un signal d'entrée complémentaire qui est choisi parmi (au moins) un signal représentatif du régime du premier 15 arbre primaire de la boîte de vitesses, un signal représentatif du régime du second arbre primaire de la boîte de vitesses, un signal représentatif des positions de fourchettes de la boîte de vitesses, et un signal représentatif d'un seuil d'engagement d'un rapport de la boîte de vitesses ; - ses moyens de surveillance peuvent comprendre les moyens de 20 surveillance auxiliaires. L'invention propose également un calculateur, destiné à contrôler le fonctionnement d'une boîte de vitesses à deux embrayages, et comprenant un dispositif de contrôle du type de celui présenté ci-avant. L'invention propose également un véhicule, éventuellement de type 25 automobile, et comprenant une boîte de vitesses à deux embrayages et un calculateur du type de celui présenté ci-avant. D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés, sur lesquels : 30 - la figure 1 illustre schématiquement et fonctionnellement un exemple de calculateur dédié au contrôle du fonctionnement d'une boîte de vitesses à deux embrayages, et comportant un premier exemple de réalisation d'un dispositif de contrôle selon l'invention, - la figure 2 illustre schématiquement et fonctionnellement le calculateur de la figure 1 équipé d'une variante de réalisation de dispositif de contrôle, et - la figure 3 illustre schématiquement et fonctionnellement un exemple de calculateur dédié au contrôle du fonctionnement d'une boîte de vitesses à deux embrayages, et comportant un second exemple de réalisation d'un dispositif de contrôle selon l'invention. Les dessins annexés pourront non seulement servir à compléter l'invention, mais aussi contribuer à sa définition, le cas échéant. L'invention a pour but de proposer un dispositif de contrôle D, destiné à contrôler le fonctionnement d'une boîte de vitesses à double embrayage, et mettant en oeuvre une architecture de sécurisation à trois niveaux de type « E-Gas Monitoring ». Dans ce qui suit, on considère, à titre d'exemple non limitatif, que la boîte de vitesses à double embrayage fait partie d'un véhicule de type automobile, comme par exemple une voiture. Mais l'invention n'est pas limitée à cette application. Elle concerne en effet tout type de boîte de vitesses à deux embrayages, et donc notamment tous les véhicules terrestres, et notamment les motocyclettes, les véhicules utilitaires, les cars (ou bus), les camions, les engins de chantier et les engins de manutention, ainsi que les trains, les machines-outils, les véhicules fluviaux ou maritimes et les aéronefs. Par ailleurs, on considère dans ce qui suit, à titre d'exemple non limitatif, que le fonctionnement de la boîte de vitesses (à double embrayage) est contrôlé par un calculateur CB qui comprend un dispositif de contrôle D selon l'invention. Mais le dispositif de contrôle D pourrait être un calculateur. Comme illustré sur les figures 1 à 3, un dispositif de contrôle D, selon l'invention, comprend au moins des moyens de contrôle MC, des moyens de surveillance MS et des moyens de surveillance auxiliaires MSA. Les moyens de contrôle MC et les moyens de surveillance MS sont chargés de mettre en oeuvre une architecture de sécurisation AS à trois niveaux de type « E-Gas Monitoring » et dont les fonctionnalités, présentées dans la partie introductive sont bien connues de l'homme de l'art. Les moyens de contrôle MC comprennent les niveaux 1 et 2 de l'architecture de sécurisation AS. Il est rappelé que le niveau 1 est chargé de déterminer les commandes (ou consignes) des actionneurs A et A' de la boîte de vitesses en fonction de différents signaux d'entrée, et notamment des mesures mi des positions des premier et second embrayages et des signaux m'j transitant sur le réseau de communication embarqué (par exemple de type CAN), ainsi que d'effectuer des diagnostics de base (notamment électriques). On notera que les mesures mi des positions des premier et second embrayages sont fournies (généralement périodiquement) par des capteurs qui sont par exemple à effet Hall. Chaque mesure de position est par exemple représentative de la position d'un piston d'une électrovanne d'actionnement d'un embrayage, elle-même représentative de la distance (en millimètres) qui sépare le disque d'un embrayage d'une position initiale de référence. Parmi ces commandes d'actionneurs de la boîte de vitesses, on peut notamment citer celles qui concernent les actionneurs A des premier et second embrayages (par exemple des électrovannes de contrôle de disque(s) et des électrovannes de contrôle de fourchettes, et celles qui concernent les autres actionneurs A' qui ne font pas partie des embrayages (comme par exemple des pompes, et un actionneur de frein de parking). Comme illustré, non limitativement, les commandes qui sont produites par le niveau 1 peuvent être transmises aux actionneurs A et A' concernés via une interface (ou étage) de pilotage IP que comprend le calculateur CB. Cette interface de pilotage IP peut, par exemple, être chargée de transformer les commandes d'actionneurs (ou consignes) produites en signaux de pilotage compréhensibles par les actionneurs A et A' concernés puis d'aiguiller ces signaux de pilotage vers ces derniers (A, A'). Cette interface de pilotage IP peut être également couplée aux moyens de contrôle MC par une voie de retour destinée à confirmer la prise en compte effective des commandes d'actionneurs reçues. Comme illustré, non limitativement, les signaux d'entrée qui parviennent en entrée du calculateur CB peuvent être réceptionnés et mis en forme (ou traités) par une interface de traitement MT que comprend le calculateur CB avant d'être aiguillés vers les entrées concernées du dispositif de contrôle D. Il est par ailleurs rappelé que le niveau 2 est fonctionnellement indépendant du niveau 1 et chargé de surveiller l'exécution des taches à caractère sécuritaire qui doivent être effectuées par le niveau 1. Pour ce faire, il acquiert des signaux d'entrée critiques afin de déterminer des signaux de sortie, et compare ces derniers aux signaux de sortie que délivre le niveau 1. Il est en outre chargé de mettre en sécurité, de façon autonome, la boîte de vitesses (c'est-à-dire placer ses premier et second embrayages dans leur position de débrayage (ou position ouverte)), lorsqu'il détecte une incohérence dans le niveau 1. Dans une telle situation, le niveau 2 génère à destination de l'interface de pilotage IP une commande requérant le placement immédiat des premier et second embrayages dans leur position de débrayage. Par exemple, les moyens de contrôle MC peuvent être agencés sous la forme d'un microcontrôleur dit principal. Dans ce cas, les niveaux 1 et 2 de l'architecture de sécurisation AS peuvent être agencés sous la forme de modules logiciels qui sont stockés dans des moyens de mémorisation M1 et M2 du microcontrôleur principal. II est également rappelé que le niveau 3 est subdivisé en une première (grosse) partie M3a qui est implantée dans les moyens de surveillance MS et une seconde (petite) partie M3b qui est implantée dans les moyens de contrôle MC. Il est chargé de surveiller l'intégrité des ressources matérielles des moyens de contrôle MC au moyen d'un jeu de questions- réponses et de tests spécifiques. Sa première partie M3a est en outre chargée de mettre en sécurité, de façon autonome, la boîte de vitesses, lorsqu'il détecte une incohérence dans le matériel des moyens de contrôle MC. Dans une telle situation, le niveau 3 (et plus précisément M3a) génère à destination de l'interface de pilotage IP une commande indépendante et autonome requérant le placement immédiat des premier et second embrayages dans leur position de débrayage. Par exemple, les moyens de surveillance MS peuvent être agencés sous la forme d'un microcontrôleur dit de surveillance (ou « watchdog »). Dans ce cas, la première partie M3a du niveau 3 de l'architecture de sécurisation AS peut être agencée sous la forme de modules logiciels qui sont stockés dans des moyens de mémorisation du microcontrôleur de surveillance MS. La seconde partie M3b du niveau 3 de l'architecture de sécurisation AS peut être également agencée sous la forme de modules logiciels qui sont stockés dans des moyens de mémorisation du microcontrôleur principal MC. Les moyens de surveillance auxiliaires MSA sont tout d'abord agencés pour déterminer si chacun des premier et second embrayages est 1 o dans sa position d'embrayage (ou fermée) ou de débrayage (ou ouverte) en fonction au moins de la mesure de position correspondante. Les moyens de surveillance auxiliaires MSA sont également agencés pour générer une commande pour des actionneurs A de la boîte de vitesses, propre à placer chacun des premier et second embrayages dans sa position de débrayage, 15 lorsque ces derniers sont simultanément dans leur position d'embrayage. On notera également que les moyens de surveillance auxiliaires MSA peuvent être indépendants des moyens de contrôle MC et moyens de surveillance MS, comme illustré non limitativement dans les exemples de réalisation des figures 1 et 2. Dans ce cas, les moyens de surveillance 20 auxiliaires MSA peuvent être agencés sous la forme d'un microcontrôleur additionnel qui est implanté dans le calculateur CB. Mais dans une variante de réalisation illustrée non limitativement sur la figure 3, les moyens de surveillance auxiliaires MSA peuvent faire partie des moyens de surveillance MS. Dans ce cas, les moyens de surveillance 25 auxiliaires MSA peuvent être agencés sous la forme de modules logiciels qui sont stockés dans des moyens de mémorisation du microcontrôleur de surveillance MS. Il est important de noter que dans cette variante de réalisation les moyens de surveillance auxiliaires MSA doivent être aussi indépendants que possible de la partie complémentaire M3a des moyens de 30 surveillance MS qui sont dédiés à la surveillance matérielle des moyens de contrôle MC. On notera également que dans certaines situations de vie très particulières et peu nombreuses, comme par exemple en cas de commutation des deux embrayages lors de certains changements de rapports particuliers de la boîte de vitesse, on peut avoir besoin que les premier et second embrayages soient temporairement et très brièvement placés simultanément dans leur position d'embrayage. Dans ces situations très spécifiques il n'est donc pas souhaitable que le dispositif de contrôle D génère une commande requérant le placement des premier et second embrayages dans leur position de débrayage. Afin de pouvoir prendre en compte ces situations spécifiques, les moyens de surveillance auxiliaires MSA peuvent être agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage non critique pour la sécurité du système, en fonction non seulement des mesures des positions en cours des premier et second embrayages, mais également d'au moins un signal d'entrée complémentaire. Parmi les signaux d'entrée qui peuvent être utilisés, on peut notamment citer un signal qui est représentatif du régime du premier arbre primaire de la boîte de vitesses (auquel est associé le premier embrayage), un signal qui est représentatif du régime du second arbre primaire de la boîte de vitesses (auquel est associé le second embrayage), un signal qui est représentatif des positions en cours de certaines fourchettes de la boîte de vitesses, et un signal qui est représentatif d'un seuil d'engagement d'un rapport de la boîte de vitesses. Il est également important de noter que la mesure de la position d'un embrayage ne permet pas obligatoirement de déterminer directement si un embrayage est dans sa position d'embrayage ou de débrayage à un instant donné. En effet, un disque d'embrayage est dans sa position de débrayage lorsqu'il frotte suffisamment fortement contre le disque (ou volant) de l'arbre primaire associé. Cette suffisance est caractérisée par rapport à un seuil qui doit être strictement dépassé et qui est construit à partir de ce que l'homme de l'art appelle le « point de léchage » (ou en anglais « kiss point »). Le point de léchage d'un embrayage correspond à une position dans laquelle son disque commence à entrer en frottement avec le disque correspondant de l'arbre primaire associé, de sorte que le couple transmis par l'embrayage devienne supérieur à un seuil de couple faible, par exemple égal à 3 N/m. Ce point de léchage permet notamment de recaler la fonction de transfert position/couple et ainsi de maîtriser le couple qui est transmis par un embrayage. Il est calculé (généralement périodiquement) par les moyens de contrôle MC à partir, notamment, des mesures des positions des premier et second embrayages et des mesures effectuées de régime des deux arbres primaires et des positions des différentes fourchettes d'engagement et de sélection des rapports à chaque fois que des conditions le permettant sont réunies (par exemple un passage en position « neutre » suffisamment prolongé de la boîte de vitesses). Le point de léchage varie dans le temps et d'un embrayage à l'autre en fonction de plusieurs paramètres, comme par exemple la thermique, la thermomécanique, l'usure, notamment par friction. Par conséquent, on comprendra que si un capteur fournit des mesures de position continues, il est nécessaire de les comparer au point de léchage pour déterminer directement si l'embrayage concerné est dans sa position d'embrayage ou de débrayage à un instant donné. Les moyens de contrôle MC doivent fournir les estimations des points de léchage qu'ils ont déterminées pour les premier et second embrayages aux moyens de surveillance auxiliaires MSA afin que ces derniers (MSA) déterminent si chacun des premier et second embrayages est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position correspondante et de l'estimation du point de léchage correspondant. Les moyens de surveillance auxiliaires MSA sont de préférence agencés de manière à effectuer leurs déterminations des positions (de débrayage ou d'embrayage) des embrayages de façon périodique, selon une période qui est par exemple égale à 10 ms. Afin d'éviter tout mode commun entre les moyens de contrôle MC et les moyens de surveillance auxiliaires MSA, les points de léchage qui sont pris en compte par les moyens de surveillance auxiliaires MSA pour la surveillance de la phase d'utilisation en cours, sont les derniers qui ont été considérés comme valides lors d'une phase d'utilisation précédente. Dans ce cas, les moyens de surveillance auxiliaires MSA sont préférentiellement agencés pour déterminer lors de chaque période si chacun des premier et second embrayages est dans sa position d'embrayage ou de débrayage en fonction au moins de la mesure de position en cours correspondante et d'une estimation valide du point de léchage correspondant déterminée par les moyens de contrôle MC lors d'une phase précédente d'utilisation de la boîte de vitesses. On entend ici par « estimation valide » une estimation cohérente par rapport à au moins une estimation antérieure ayant permis un contrôle correct d'un embrayage et donc n'ayant pas induit un blocage des roues du véhicule. Par ailleurs, on entend ici par « phase d'utilisation de la boîte de vitesses » une phase survenant entre le moment où on commence à utiliser le véhicule (en le démarrant) et le moment où on cesse d'utiliser le véhicule (en coupant son moteur). Une phase d'utilisation correspond donc à un cycle de conduite du véhicule. Par exemple, les moyens de surveillance auxiliaires MSA peuvent être agencés pour stocker, lors de la phase d'utilisation de la boîte de vitesses qui est en cours, les estimations des points de léchage qui ont été déterminées lors de la phase d'utilisation précédente, en remplacement des estimations valides des points de léchage précédemment stockées, lorsque ces premières sont compatibles avec ces dernières. A cet effet, à la fin de chaque phase d'utilisation les moyens de contrôle MC peuvent transmettre aux moyens de surveillance auxiliaires MSA les estimations des points de léchage K qu'ils ont déterminées pendant la phase d'utilisation considérée. Ces dernières estimations des points de léchage K sont alors immédiatement stockées par les moyens de surveillance auxiliaires MSA, de préférence dans une mémoire non volatile sécurisée afin de pouvoir être comparées par les moyens de surveillance auxiliaires MSA aux dernières estimations valides des points de léchage KO (stockées lors d'une phase d'utilisation antérieure dans une mémoire non volatile sécurisée). Un point de léchage n'évoluant que très peu entre deux phases d'utilisation, la comparaison du dernier point de léchage reçu K à celui valide KO permet donc de déterminer directement si ce dernier point de léchage reçu K est valide ou non. Plus précisément, si K et KO présentent une différence qui est jugée compatible avec une évolution normale du point de léchage entre deux phases d'utilisation (ou cycles de conduite) successives, alors le point de léchage KO est remplacé par le point de léchage K fraichement reçu. K devient alors le point de léchage utilisé par les moyens de surveillance auxiliaires MSA pour leur surveillance lors de chaque période de la nouvelle phase d'utilisation en cours. En revanche, si K et KO présentent une différence qui est jugée anormale (c'est-à-dire incompatible avec une évolution normale du point de léchage entre deux phases d'utilisation successives), alors le dernier point de léchage K est rejeté et l'ancien point de léchage KO est conservé par les moyens de surveillance auxiliaires MSA afin d'être utilisé par ces derniers (MSA) pour leur surveillance lors de chaque période de la nouvelle phase d'utilisation en cours. On notera que les moyens de surveillance auxiliaires MSA peuvent être, également et éventuellement, agencés pour construire des seuils à partir de chacune des estimations valides des points de léchage, et pour décider qu'un embrayage est dans sa position d'embrayage lorsque la mesure de position correspondante est strictement supérieure au seuil construit correspondant. Par exemple, si une estimation valide d'un point de léchage est égale à 1,3 mm, alors on peut construire un seuil égal à la somme de cette estimation (ici 1,3 mm) et d'une constante représentative du déplacement (ou de la course) supplémentaire au-delà du point de léchage à partir duquel on considère que l'on embraye suffisamment pour s'exposer au risque de blocage de la boîte de vitesses BD. Cette constante est choisie en fonction des types des actionneurs d'embrayage dont les courses présentent des ordres de grandeurs variables. Pour augmenter encore l'indépendance entre les moyens de contrôle MC et les moyens de surveillance auxiliaires MSA, on notera également qu'il peut être avantageux de contrôler, par l'intermédiaire d'un moyen indépendant, la transmission des estimations des points de léchage des moyens de contrôle MC vers les moyens de surveillance auxiliaires MSA. A cet effet, et comme illustré non limitativement sur la figure 2, le dispositif de contrôle D peut comprendre des moyens de gestion MG agencés de manière à n'autoriser le transfert des estimations des points de léchage des moyens de contrôle MC vers les moyens de surveillance auxiliaires MSA, que lorsqu'au moins une condition choisie est satisfaite. Plusieurs conditions peuvent être utilisées et notamment l'instant de fin ou le début d'une phase d'utilisation de la boîte de vitesses (ou cycle de conduite). Comme illustré non limitativement sur la figure 2, ces moyens de gestion MG peuvent être, par exemple, réalisés sous la forme d'un transistor commandé par un signal sc qui est de préférence externe afin d'être indépendant des moyens de contrôle MC et des moyens de surveillance auxiliaires MSA. On notera également qu'afin d'éviter les fausses alertes occasionnant des placements intempestifs des premier et second embrayages dans leur position de débrayage, il peut être avantageux de ne générer une commande de débrayage à destination de l'interface de pilotage IP qu'à condition que le placement simultané des premier et second embrayages dans leur position d'embrayage soit détecté lors d'un nombre choisi de périodes successives contenues dans un intervalle de temps de durée choisie. Par exemple, on peut décider qu'il y a effectivement un problème lorsque l'on détecte le placement simultané des premier et second embrayages dans leur position d'embrayage pendant un nombre choisi de périodes successives (par exemple et non limitativement dix périodes de 10 millisecondes, soit 100 millisecondes). L'invention ne se limite pas aux modes de réalisation de dispositif de contrôle, de calculateur, et de véhicule décrits ci-avant, seulement à titre d'exemple, mais elle englobe toutes les variantes que pourra envisager l'homme de l'art dans le cadre des revendications ci-après. REVENDICATIONS1. Dispositif (D) de contrôle du fonctionnement d'une boîte de vitesses à deux embrayages, ledit dispositif (D) comprenant des moyens de contrôle (MC) agencés pour déterminer des commandes pour des actionneurs de ladite boîte de vitesses en fonction de signaux d'entrée représentatifs notamment de mesures de positions desdits embrayages, et des moyens de surveillance (MS) agencés pour surveiller le fonctionnement desdits moyens de contrôle (MC), caractérisé en ce qu'il comprend en outre des moyens de surveillance auxiliaires (MSA) agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position correspondante, et pour générer une commande pour des actionneurs de ladite boîte de vitesses, propre à placer chacun desdits embrayages dans sa position de débrayage, lorsque lesdits embrayages sont simultanément dans leur position d'embrayage. 2. Dispositif selon la revendication 1, caractérisé en ce que lesdits moyens de surveillance auxiliaires (MSA) sont agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position correspondante et d'une estimation d'un point de léchage correspondant déterminée par lesdits moyens de contrôle (MC). 3. Dispositif selon la revendication 2, caractérisé en ce que lesdits moyens de surveillance auxiliaires (MSA) sont agencés pour effectuer leurs déterminations des positions desdits embrayages de façon périodique, et pour déterminer lors de chaque période si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction au moins de la mesure de position en cours correspondante et d'une estimation valide du point de léchage correspondant déterminée par lesdits moyens de contrôle (MC) lors d'une phase précédente d'utilisation de ladite boîte de vitesses. 4. Dispositif selon la revendication 3, caractérisé en ce que lesdits moyens de surveillance auxiliaires (MSA) sont agencés pour stocker lors de la phase en cours d'utilisation de ladite boîte de vitesses les estimations despoints de léchage déterminées lors de la phase d'utilisation précédente, en remplacement d'estimations valides des points de léchage précédemment stockées lorsque ces premières sont compatibles avec ces dernières. 5. Dispositif selon l'une des revendications 3 et 4, caractérisé en ce que lesdits moyens de surveillance auxiliaires (MSA) sont agencés pour construire des seuils à partir de chacune desdites estimations valides des points de léchage, et pour décider qu'un embrayage est dans sa position d'embrayage lorsque la mesure de position correspondante est strictement supérieure au seuil construit correspondant. 6. Dispositif selon l'une des revendications 2 à 5, caractérisé en ce qu'il comprend des moyens de gestion (MG) agencés pour n'autoriser le transfert des estimations des points de léchage desdits moyens de contrôle (MC) vers lesdits moyens de surveillance auxiliaires (MSA), que lorsqu'au moins une condition choisie est satisfaite. 7. Dispositif selon l'une des revendications 1 à 6, caractérisé en ce que lesdits moyens de surveillance auxiliaires (MSA) sont agencés pour déterminer si chaque embrayage est dans une position d'embrayage ou de débrayage en fonction d'au moins un signal d'entrée complémentaire choisi dans un groupe comprenant au moins un signal représentatif d'un régime d'un premier arbre primaire de ladite boîte de vitesses, un signal représentatif d'un régime d'un second arbre primaire de ladite boîte de vitesses, un signal représentatif de positions de fourchettes de ladite boîte de vitesses, et un signal représentatif d'un seuil d'engagement d'un rapport de ladite boîte de vitesses. 8. Dispositif selon l'une des revendications 1 à 7, caractérisé en ce que lesdits moyens de surveillance (MS) comprennent lesdits moyens de surveillance auxiliaires (MSA). 9. Calculateur (CB) pour contrôler le fonctionnement d'une boîte de vitesses à deux embrayages, caractérisé en ce qu'il comprend un dispositif de contrôle (D) selon l'une des revendications précédentes. 10. Véhicule comprenant une boîte de vitesses à deux embrayages, caractérisé en ce qu'il comprend en outre un calculateur (CB) selon la revendication 9.