Brevet FR3082961A1 — publié le 20191227

La présente invention concerne de manière générale le domaine de l'électronique automobile et de la sécurité de fonctionnement des unités de traitement. Elle vise en particulier un dispositif de diagnostic de défaillance. Il est connu, pour satisfaire aux normes de sécurité du contrôle moteur 5 ISO 29292 de surveiller le bon fonctionnement d'une unité de traitement MC (de l'anglais Main Controler » : contrôleur principal) au moyen d'un module MU (de l'anglais >, il est considéré que la réponse est absente. Une réponse absente ou mauvaise est indicative d'une anomalie. Lorsqu'une défaillance de l'unité de traitement MC est diagnostiquée, des mesures conservatoires sont déclenchées. L'unité de traitement MC est typiquement réinitialisée, et par exemple redémarrée dans un mode dégradé, sûr pour le système commandé mais présentant le plus souvent des performances limitées, tel un mode, nommé en anglais « limp-home », autorise un fonctionnement du moteur/véhicule restreint dans ses fonctions et/ou limité dans le temps, mais sûr pour le véhicule et son conducteur, afin de leur permettre de rejoindre un lieu de destination ou un garage. Certaines anomalies sont inévitables et ne prêtent pas à conséquence. Il peut par exemple arriver qu'une réponse à une question postérieure soit reçue par le module MU avant une réponse à une question antérieure, autrement dit que deux réponses soient reçues dans un ordre différent de celui des questions. Ce phénomène est connu sous le nom de « jitter » ou guigue en français. Le module MU conclut alors à une mauvaise réponse. Ceci crée une anomalie qui n'est pas indicative d'une réelle défaillance, telle une défaillance d'un composant matériel. Ceci est d'autant plus probable lorsque l'unité de traitement MC comprend plusieurs coeurs et/ou que le module MU envoie les questions à une fréquence élevée. Il peut alors arriver que l'algorithme de détermination de la réponse sollicitant différents coeurs, soit retardé pour la détermination et ainsi la fourniture d'une réponse, si au moins un des coeurs est surchargé. Aussi, de manière connue, afin de ne pas indûment recourir aux mesures conservatoires contraignantes, il n'est pas diagnostiqué une défaillance à la première anomalie, mais après une succession de plusieurs anomalies, dans un temps limité, typiquement traitées au moyen d'un filtre. Selon un mode de réalisation connu il est, par exemple, utilisé comme filtre un dispositif anti-rebond (ou « anti bounce » en anglais). Tel qu'illustré à la figure 2, un tel dispositif traite un signal d'anomalie AN de la manière suivante. Le dispositif anti-rebond comprend un compteur anfi-rebond AB. Ce compteur AB est incrémenté à chaque anomalie (réponse mauvaise ou absente), indiquée par un état haut du signal AN, et est décrémenté à chaque bonne réponse, pour peu que cette bonne réponse soit reçue dans un délai donné consécutif à l'anomalie et limité. Ainsi lorsqu'une anomalie est détectée, le dispositif anti-rebond déclenche un fimer, si au moins une bonne réponse est reçue avant 3 l'expiration du timer, l'anomalie est ignorée et/ou annulée. Si au contraire, à l'expiration du timer, aucune bonne réponse n'a été reçue, l'anomalie est comptabilisée. Ainsi l'anomalie A1, présente durant un cycle, provoque un incrément B1 du compteur AB. Cependant, la bonne réponse reçue suite à M, indiquée par un état bas du signal AN, provoque un 5 décrément du compteur AB qui revient à sa valeur initiale. De même, l'anomalie A2, présente durant deux cycles successifs, provoque successivement deux incréments B2 du compteur AB. Cependant, deux bonnes réponses reçues pendant deux cycles suite à A2, provoquent deux décréments successifs du compteur AB qui revient à sa valeur initiale. Aussi les anomalies M et A2 sont ignorées. 10 Lorsque le compteur anfi-rebond AB dépasse un seuil donné AT, une défaillance est diagnostiquée. Ceci est illustré à la figure 2, par l'anomalie A3, successivement répétée pendant 8 cycles, qui incrémente successivement le compteur AB jusqu'à ce qu'il atteigne le seuil AT. Ainsi, il faut plusieurs anomalies successives, dans un certain délai, sans 15 bonne réponse intermédiaire, pour diagnostiquer une défaillance. Le seuil est un paramètre important. Il offre avantageusement une certaine tolérance et une possibilité de correction », notamment des anomalies dues à un phénomène de « jitter » ou guigue. De manière désavantageuse, la présence du seuil, et le « time-out » retenu, retardent d'autant une prise de décision. Aussi le seuil est généralement réduit, typiquement égal à quelques 20 unités, par exemple égal à 3 sur la figure 2. Ceci correspond temporellement à 3 récurrences de diagnostic, soit 30 ms pour une récurrence de 10 ms. Un tel dispositif antirebond évacue efficacement des anomalies non pertinentes telles que celles causées par un phénomène de « jitter » ou guigue. Cependant un tel dispositif anti-rebond présente encore un autre inconvénient. 25 Sa capacité de « correction » devient préjudiciable en ce qu'elle a pour effet de masquer une anomalie sporadique. Lorsqu'une anomalie présente une fréquence supérieure à la fréquence de bonne réponse, y inclus une anomalie continûment présente, comme c'est le cas pour l'anomalie A3 de la figure 2, le dispositif anti-rebond fonctionne bien en ce que le compteur 30 anti-rebond AB va rapidement s'incrémenter jusqu'à dépasser le seuil AT et ainsi à juste titre conduire au diagnostic d'une défaillance. Cependant, si à l'instar des anomalies A1, A2 de la figure 2, une anomalie présente une fréquence inférieure à la fréquence de bonne réponse, cette anomalie A1, A2, même récurrente est masquée par le dispositif antirebond et est ignorée. 35 L'objectif de l'invention est de proposer un dispositif de diagnostic de défaillance d'une unité de traitement présentant les mêmes fonctionnalités, mais sans présenter les inconvénients du dispositif anfi-rebond, soit un dispositif apte à diagnostiquer 4 une défaillance, présentant une certaine tolérance aux anomalies par exemple causées par un phénomène de REVENDICATIONS1. Dispositif (10) de diagnostic de défaillance d'une unité de traitement (MC) comprenant un module (MU) apte à vérifier le bon fonctionnement de l'unité de traitement (MC) en lui posant régulièrement des questions et en analysant les réponses, et un compteur d'anomalie (FC) apte à compter les réponses mauvaises ou absentes et à produire un diagnostic de défaillance lorsqu'il dépasse un premier seuil (FI), caractérisé en ce que le compteur d'anomalie (FC) est réinitialisé selon une période (DI). 2. Dispositif (10) selon la revendication 1, où le nombre d'incréments du compteur 10 d'anomalie (FC) possibles au cours d'une période (DT) est supérieur au premier seuil (ET), préférentiellement supérieur au double du premier seuil (ET). 3. Dispositif (10) selon l'une quelconque des revendications 1 ou 2, comprenant encore un moyen d'enregistrement apte à enregistrer au moins une information relative au compteur d'anomalie (FC). 15 4. Dispositif (10) selon la revendication 3, où l'information enregistrée comprend la valeur du compteur d'anomalie (FC) avant réinifialisation. 5. Dispositif (10) selon l'une quelconque des revendications 3 ou 4, où l'information enregistrée est le ou les instants où la valeur du compteur d'anomalie (FC) atteint ou dépasse un deuxième seuil (MT), inférieur au premier seuil (ET) et/ou le nombre 20 de fois où le compteur d'anomalie (FC) atteint ou dépasse le deuxième seuil (MT). 6. Dispositif (10) selon l'une quelconque des revendications 3 à 5, où l'information enregistrée est le profil complet du compteur d'anomalie (FC). 7. Dispositif (10) selon l'une quelconque des revendications 3 à 6, où l'information enregistrée est accompagnée d'un état de l'environnement de l'unité de traitement (MC). 25 8. Dispositif (10) selon l'une quelconque des revendications 3 à 7, où l'information enregistrée est comparée à celle obtenue pour une unité de traitement de référence (MCR) ou pour une unité de traitement moyenne (MCM) afin de diagnostiquer une défaillance sporadique.