Brevet FR3024625A1 — publié le 20160205

Domaine de l'invention La présente invention se rapporte à un procédé de gestion d'un appareil de commande communiquant par une liaison Ethernet avec une unité de saisie de données. Ce procédé et l'appareil de com- mande qu'il applique sont notamment utilisés dans un véhicule auto- mobile. Etat de la technique Les appareils de commande sont des unités ou modules électroniques utilisés dans des installations techniques pour comman- der ou réguler les composants et des successions d'opérations dans cette installation technique. On utilise des appareils de commande dans de nombreux domaines des véhicules automobiles. Un exemple en est l'appareil de commande ou de gestion du moteur qui commande et régule le fonctionnement du moteur à combustion interne assurant l'entraînement. De façon caractéristique, les appareils de commande fonctionnent selon le principe réception-traitement-émission. Les capteurs ou des installations de saisie de données alimentent la réception. L'émission qui résulte du traitement des informations ou données d'entrée permet de commander les actionneurs. Pour les communications avec les capteurs et les actionneurs, il est nécessaire de faire communiquer les appareils de commande par des liaisons telles que par exemple des liaisons bus avec les capteurs et les actionneurs. Un exemple d'une liaison bus est la liaison bus Ethernet. Ethernet désigne une technique qui définit les pro- grammes et les circuits pour des réseaux de données liés par câble. Les véhicules automobiles utilisent des liaisons Ethernet pour échanger des données entre les appareils de commande et les capteurs ainsi avec les actionneurs. Ces liaisons, notamment dans les ap- plications critiques pour la sécurité doivent répondre à des exigences très strictes. Ainsi, il faut veiller à ce qu'un appareil de commande de véhicule comportant une liaison par bus Ethernet pour émettre des données concernant la sécurité soit en mesure de couper le cas échéant cette liaison bus et de plus de vérifier l'efficacité de la coupure de la communication. Un appareil de commande de véhicule comportant une liaison par bus Ethernet pour envoyer des données concernant la sécurité doit pouvoir en cas de défaut, couper aussi rapidement que possible la communication pour passer à l'état sécurisé encore appelé "mode dé- gradé". Une application possible des appareils de commande équipant les véhicules sont les systèmes de caméras utilisant les images des caméras extérieures pour un véhicule autonome, pour calculer les mouvements de direction et les instants. Une variation de l'image, par exemple produite par une personne qui se trouve devant le véhicule au- lx) tonome doit pouvoir être détectée correctement et l'information doit pouvoir être traitée. Si une erreur de calcul devait passer dans la chaîne de traitement, il faut couper l'émission des données images ou autres signaux de commande concernant la sécurité. Ce n'est qu'ainsi que l'on peut garantir qu'aucune manoeuvre erronée, critique ne sera exécutée 15 avec des signaux de défaut. Les systèmes de caméra se composent en général de plusieurs unités de calcul reliées par un bus de communication, par exemple un bus à base Ethernet avec le véhicule et ce système doit garantir par des moyens techniques que la coupure se fera dans le temps 20 de réaction requis. Exposé et avantages de l'invention Dans ce contexte, la présente invention a pour objet un procédé de gestion d'un appareil de commande relié par une liaison Ethernet à au moins une unité de saisie de données, l'appareil de com- 25 mande échangeant des paquets de données avec une unité de saisie de données par un composant émetteur, la détection d'une erreur lançant une réaction d'erreur pour laquelle tout d'abord on efface tous les paquets de données qui se trouvent dans une mémoire du composant émetteur. 30 Il est à remarquer que pour la communication fondée sur Ethernet on utilise souvent des composants Ethernet standards tel que par exemple un composant de commutation pour coupler plusieurs participants ou unités de calcul. On a constaté qu'une possibilité pour couper la communication par Ethernet en cas de défaut consiste à 35 mettre ce commutateur dans l'état de remise à zéro ou de le couper complètement. Cela peut se faire très rapidement mais a l'inconvénient de rendre impossible toute communication, par exemple la réception de messages ou le branchement d'un testeur de diagnostique. Une alternative possible consiste à reconfigurer le com- mutateur pour ne bloquer que l'envoi d'informations potentiellement erronées, mais de permettre toujours la réception de données. Cette solution a néanmoins l'inconvénient que la reconfiguration liée au blocage des entrées et sorties est plus longue et ainsi elle ne permet pas de respecter l'exigence concernant le temps de réaction de défaut maximum. Le procédé selon l'invention permet de raccourcir signifi- cativement le temps de réaction d'erreur pour bloquer les messages sortant et revenir ainsi plus rapidement dans l'état sécurisé. Pour cela il est prévu d'effacer tous les paquets Ethernet qui, à l'instant du lancement de la réaction de défaut et le cas échéant ensuite, se trouvent dans la mémoire, par exemple dans la mémoire tampon de sortie du composant émetteur, par exemple un commutateur. Comme mémoire dans le composant émetteur, on utilise par exemple une mémoire FIFO (mémoire de type premier entré-premier sorti). Un tel effacement possible de manière caractéristique avec un ordre bref peut ainsi s'exécuter beaucoup plus rapidement que la transmission et l'activation de la nouvelle configuration. Cela résulte du fait que le composant émetteur est généralement couplé par des interfaces de service relativement lentes, comme par exemple l'interface I2C ou SPI avec l'unité centrale de calcul CPU pour une configuration et que le traitement et l'activation d'une configuration dans le composant même, demande également plus de temps. En effaçant les paquets Ethernet dans le composant émetteur on neutralise l'émission des informations erronées immédiatement et pendant la durée de la reconfiguration et ainsi arriver immédiatement à l'état sécurisé. En même temps, on évite les inconvénients d'une coupure complète permanente de toutes les communications, par exemple par le mode de remise à l'état initial. On a ainsi un appareil de commande à une ou plusieurs unités de calcul qui exécutent des fonctions concernant la sécurité et communiquent par un bus de communication Ethernet standard. L'état sécurisé de mode dégradé sera réalisé dans celui-ci par la neutralisation de la communication d'une ou plusieurs unités en position centrale, par exemple le commutateur Ethernet. La coupure se fait habituellement par une reconfigura- tion du composant émetteur. La reconfiguration peut soit couper com- plètement le sens de l'émission vers l'extérieur, soit sélectivement seulement certains ports vers des unités de processeur (avec défaut) en les bloquant ou en bloquant sélectivement seulement les messages concernant la sécurité d'une ou plusieurs unités. L'effacement de la mémoire tampon de sortie se fait en cas de coupure, par exemple par un ordre distinct. En variante, la mémoire tampon de sortie peut également être « vidée » par exemple mise directement à zéro en modifiant la taille de la mémoire tampon. En variante, en modifiant le taux de régulation de flux lorsqu'on utilise dans un intervalle de rafraichissement permet de vider complètement la mé- moire "seau" pour ne plus permettre la sortie de données. La modification du taux de régulation de flux est la pos- sibilité de retarder des paquets Ethernet pour arriver à un certain profil de trafic. On limite de cette manière le débit de données et on ralentit les paquets Ethernet pour arriver à la coordination dans le temps re- quise. Le mode "seau percé" désigne un algorithme pour adapter les paquets Ethernet à un débit de données. Dans le cas d'une mémoire FIFO de taille N et avec un débit de transmission R on pourra par exemple, en modifiant les deux paramètres, influencer le débit de données pour n'envoyer aucun paquet, ou l'envoyer en le retardant fortement. En re- tardant les paquets on peut également provoquer une coupure de temps chez le récepteur. Modifier le taux de régulation de flux ne signifie pas un effacement correct mais une réduction du débit d'émission, ce qui se traduit finalement par un défaut de temps dans le récepteur. Ainsi, on réduit le taux pour n'émettre que très peu de paquets, ce qui produit la coupure de temps dans le récepteur ou encore on réduit la taille N de la mémoire FIFO pour que celle-ci ne puisse recevoir que très peu d'informations. L'algorithme est tel que tout ce qui a été inscrit au-delà de N sera rejeté. Ce rejet correspond à un effacement. Dessins La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'exemples de procédé de gestion d'un appareil de commande ainsi que d'un appareil de commande ainsi géré représenté dans les dessins annexés dans lesquels : la figure 1 est le schéma d'un dispositif pour la mise en oeuvre du procédé, la figure 2 montre un mode de réalisation d'un composant de commutation ethernet, la figure 3 montre des chronogrammes de la coupure selon l'état de la technique, la figure 4 montre des chronogrammes de la coupure selon le procédé de l'invention. Description de modes de réalisation de l'invention La figure 1 montre un dispositif 10 comportant un appa- reil de commande 11 ayant une première unité de calcul 12 et une seconde unité de calcul 14 exécutant des fonctions concernant la sécurité. Ces unités sont reliées par une liaison Ethernet 16, dans ce cas par un bus de communication Ethernet standard. La liaison Ethernet 16 et l'appareil de commande 11 comportent un commutateur 18. La com- munication entre les deux unités de calcul 12 et 14 et le commutateur 18 se fait par une interface SPI 20 (Interface Périphérique Série) et/ou par une interface I2C 22. Le procédé présenté peut en principe être exécuté par un dispositif 10 comportant une seule unité de calcul. L'interface I2C est un bus série à deux fils avec un coeffi- cient de transmission allant jusqu'à 1 Mbit ; il est par exemple utilisé pour configurer des circuits intégrés (circuits IC). Le bus SPI est un bus série à trois fils (clk, données, sélect) et un débit de transmission de 25 Mbit ; il est utilisé par exemple pour configurer des circuits intégrés. Les interfaces présentées ne sont que des exemples. Elles peuvent être différentes suivant l'appareil de commande. Le choix n'a en principe aucune influence sur le procédé qui sera décrit. Le dispositif 10 comporte en outre une première caméra 30, une seconde caméra 32, une troisième caméra 34 et une quatrième caméra 36 reliées par l'interrupteur 18 dans la liaison Ethernet 16 avec les unités de calcul 12 et 14 de l'appareil de commande 11 pour être commandées et lues par celles-ci. La figure 2 montre un mode de réalisation d'un commu- tateur portant globalement la référence 50. IL comporte une ligne d'entrée 52, une mémoire de paquets 54, une ligne de sortie 56, un con- trôleur d'accès au support MAC 58, quatre liaisons physiques 60, une unité centrale de calcul 62, un registre d'accès 64 et deux interfaces SPI (interfaces périphériques série) 66. Le contrôle MAC fait partie de la touche de liaison de données (data link layer) il commande l'accès au milieu physique pour accéder à un réseau à accès multiple. La figure 3 montre les chronogrammes représentés dans un système de coordonnées dont l'axe des abscisses 70 représente la coupure selon l'état de la technique. La première courbe 72 indique le nombre de paquets dans la mémoire tampon. La seconde courbe 74 in- dique si une reconfiguration est active 76 ou inactive 78. Une troisième courbe 80 indique si l'état sécurisé est activé 82 ou inactivé 84. Selon l'évolution dans le temps, à un premier instant 90 on lance la reconfiguration. A un second instant 92 on arrête la reconfi- guration. On vide la mémoire de paquets en n'acceptant plus de pa- quets. Puis on réduit les paquets comme le montre la descente de la courbe 72. Lorsque plus aucun paquet n'est transmis, on arrive à l'état sécurisé au troisième instant 94. La figure 4 montre également des chronogrammes repré- sentant sur l'axe des abscisses 100 la coupure selon le procédé de l'invention. La première courbe 102 indique le nombre de paquets dans la mémoire tampon. La seconde courbe 104 indique si une reconfiguration est activée 106 ou est inactivée 108. Une troisième courbe 110 indique si l'ordre «effacer la mémoire tampon » est activée 112 ou inactivée 114. Une quatrième courbe 116 indique si l'état sécurisé est activé 118 ou inactivé 120. Selon ce mode de réalisation, tout d'abord un premier instant 122 on efface la mémoire tampon. Cela correspond à l'émission de l'ordre « effacer tampon » comme l'explicite la troisième courbe 110. A un second instant 124 on neutralise l'ordre et peu de temps après, à un troisième instant 126 on efface la mémoire tampon, et on lance la reconfiguration. Dès que celle-ci est terminée, à un quatrième instant 128, on arrive dans l'état sécurisé. L'effacement immédiat de la mémoire tampon dans ce cas au premier instant 122, permet d'atteindre l'état sûr beaucoup plus tôt que cela n'est possible actuellement avec les procédés connus comme cela a été décrit par exemple à l'aide de la figure 3.10 NOMENCLATURE DES ELEMENTS PRINCIPAUX 10 Dispositif 11 Appareil de commande 12 Première unité de calcul 14 Seconde unité de calcul 16 Liaison Ethernet 18 Commutateur 20 Interface série périphérique SPI 22 Interface I2C 30, 32, 34, 36 Caméra 50 Commutateur 52 Ligne d'entrée 54 Mémoire de paquet 56 Ligne de sortie 58 Contrôle MAC 60 Liaisons physiques 62 Unité centrale de calcul 64 Accès registre 66 Interface périphérique série 70 Axe de coordonnées 72 Première courbe 74 Seconde courbe 76 Reconfiguration activée 78 Reconfiguration inactive 80 Troisième courbe indiquant l'état sécurisé 82 Etat sécurisé activé 84 Etat sécurisé inactive 90 Premier instant de démarrage de la reconfiguration 92 Second instant fin de la reconfiguration 94 Troisième instant / Etat sécurisé 100 Abscisses 102 Première courbe indiquant le nombre de paquets dans la mémoire tampon 104 Courbe d'activation / inactivation REVENDICATIONS1°) Procédé de gestion d'un appareil de commande (11) relié par une liaison Ethernet (16) à au moins une unité de saisie de données, l'appareil de commande (11) échangeant des paquets de données avec une unité de saisie de données par un composant émetteur, la détection d'une erreur lançant une réaction d'erreur pour laquelle on efface tout d'abord tous les paquets de données qui se trouvent dans une mémoire du composant émetteur. 2°) Procédé selon la revendication 1, caractérisé en ce qu' on efface tous les paquets de données qui se trouvent dans les mémoires tampons de sortie du composant émetteur. 3°) Procédé selon la revendication 1 ou 2, caractérisé en ce qu' après l'effacement, on reconfigure le composant émetteur. 4°) Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu' on déclenche l'effacement par un ordre séparé. 5°) Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu' on déclenche l'effacement en modifiant la taille de la mémoire dans le composant émetteur. 6°) Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce qu' on déclenche l'effacement par une modification du taux de régulation de flux. 7°) Appareil de commande relié par une liaison internet (16) à au moins une installation de saisie de données, cet appareil de commande étant conçu pour échanger des paquets de données par un composant émet-teur vers une unité de saisie de données, notamment pour la mise en oeuvre d'un procédé selon l'une des revendications 1 à 6, l'appareil de commande (11) ayant détecté un défaut, lance une réaction de défaut par laquelle tout d'abord tous les paquets de données conte- nus dans la mémoire du composant émetteur sont effacés. 8°) Appareil de commande selon la revendication 7, caractérisé en ce que le composant émetteur est un commutateur (18, 50). 9°) Procédé selon les revendications 7 et 8, caractérisé en ce qu' il comporte au moins une caméra (30, 32, 34, 36). 10°) Appareil de commande selon l'une quelconque des revendications 7 à 9, caractérisé en ce que la mémoire est une mémoire FIFO.20