Brevet FR3115373A1 — publié le 20220422

L’invention concerne la gestion d’un arrêt temporaire programmé d’un composant électronique (ECU) supervisé par un dispositif de supervision (VSM), le composant et le dispositif étant compris dans un véhicule terrestre à moteur. FIG. 1 Gestion de la supervision d’un composant électronique d’un véhicule terrestre à moteur La présente invention appartient au domaine de l’électronique embarquée dans un véhicule terrestre à moteur. En particulier, il concerne la gestion de la supervision d’un composant électronique du véhicule dans le cas d’un arrêt temporaire programmé du composant. On entend par « véhicule terrestre à moteur » tout type de véhicule tel qu’un véhicule automobile, un cyclomoteur, une motocyclette, un robot de stockage dans un entrepôt, etc. Les architectures électroniques des véhicules disposent d’un dispositif de supervision, qui est connectée à différents réseaux internes au véhicule (Ethernet, CAN pour Controller Area Network soit réseau de contrôle de zone en français, aussi décrit ci-après en référence à la figure 1). Le dispositif de supervision peut superviser toutes les composants du véhicule et générer un code de défaut si un composant ne communique de la manière convenue avec le dispositif de supervision. En particulier, la supervision du réseau est un mécanisme qui permet au dispositif de supervision de superviser la présence d'une autre composant en vérifiant la réception continue d'une trame périodique (ou mixte) envoyée par le composant supervisée. Lorsque la réception de la trame périodique (ou mixte) est interrompue pendant une certaine durée, le dispositif de supervision signale un défaut. Une telle supervision est nécessaire pour le bon fonctionnement d’organes (freins, groupe motopropulseur, feux, etc.) parfois responsables de la sécurité des occupants du véhicule. En particulier, les exigences de sureté de fonctionnement relatives à de tels composants et dispositif de supervision sont très importantes, et conduisent par exemple parfois à la redondance de certains de ces composants / dispositif de supervision. Avec l'arrivée de nouvelles fonctions du véhicule comme les mises à jour à distance des logiciels, systèmes d’exploitation ou micrologiciels (firmware en anglais) des composants, les composants comprennent des phases d’arrêts (typiquement lors du flashage du firmware). Lors de ces phases d’arrêt programmé, le composant ne peut plus être efficacement supervisé (il n’envoie plus ses trames périodiques par exemple). Le dispositif de supervision détecte alors de manière erronée un défaut. Il a pu être proposé d’arrêter la supervision lors d’un tel arrêt programmé. Toutefois, un tel arrêt impose l’arrêt de la supervision pour l’ensemble des composants et n’est donc pas compatible avec une mise à jour à distance qui se veut la plus transparente possible. La présente invention vient améliorer la situation. A cet effet, un premier aspect de l’invention concerne un procédé de gestion d’un arrêt temporaire programmé d’un composant électronique supervisé par un dispositif de supervision, le composant et le dispositif étant compris dans un véhicule terrestre à moteur, le procédé comportant les étapes de : identification par le composant d’un arrêt temporaire programmé ; génération par le composant d’un message d’anticipation de l’arrêt comportant une information de durée d’arrêt du composant pendant l’arrêt temporaire programmé ; transmission du message d’anticipation depuis le composant vers le dispositif de supervision; arrêt de la supervision du composant par le dispositif de supervision pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Un mécanisme simple mais sûr et prenant en compte la diversité et le caractère asynchrone des arrêts temporaires programmés est donc mise en place. En effet, la transmission du message d’anticipation est faite de manière dynamique et à l’initiative du composant concerné, sans que cela n’affecte la supervision des autres composants. Il devient alors possible d’envisager l’arrêt programmé du composant de la manière la plus transparente possible (sauf bien sûr si ce composant est impliqué dans le fonctionnement du véhicule au moment où l’arrêt est programmé) et en tous cas sans nécessiter l’arrêt ou le fonctionnement dans un mode dégradé d’autres composants non concernés par l’arrêt programmé. De plus, le procédé est conforme aux exigences de sécurité tout en conservant des coûts faibles, bien spécifiques aux véhicules terrestre à moteur. En effet, pour les composants sensibles, l’envoi du message d’anticipation peut être redondé et le procédé n’implique pas de dimensionner des mémoires supplémentaires pour son exécution (seule l’information de durée est temporairement conservée par le dispositif de supervision). Dans un mode de réalisation, le message d’anticipation comporte en outre l’un au moins des éléments parmi : un identifiant du composant ; une information configurée pour expliquer la raison de l’arrêt temporaire. Dans un autre mode de réalisation, le procédé comporte en outre les étapes de : sur l’identification du composant d’une remise en marche du composant, envoi d’un message d’information de reprise depuis le composant vers le dispositif de supervision ; sur réception du message de reprise par le dispositif de supervision, reprise de la supervision du composant par le dispositif de supervision. Ainsi, un arrêt programmé ayant en pratique eu une durée plus courte ne bloquera de manière injustifiée la supervision. Dans un autre mode de réalisation, la supervision par le dispositif de supervision comprend une réception périodique de messages de vérification depuis le composant, configurés pour informer le dispositif de supervision du fonctionnement normal du composant. Dans un autre mode de réalisation, un composant secondaire est en outre compris sur le véhicule, le composant secondaire surveillant le fonctionnement du composant supervisé, le procédé comporte en outre l’étape de : sur réception par le dispositif de supervision du message d’anticipation, transmission depuis le dispositif de supervision vers le composant secondaire d’un message d’information secondaire comportant l’information de durée d’arrêt du composant. En particulier, dans un mode de réalisation, le procédé comporte en outre l’étape : arrêt de la surveillance du composant supervisé par le composant secondaire pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Les liens entre composants sont donc pris en compte et le procédé peut ainsi être mis en œuvre dans un environnement complexe de composants se surveillant les uns les autres. Par exemple, un boitier de connectivité subissant un arrêt programmé est surveillé par d’autres composants, qui sont par exemple alimentés par le boitier de connectivité en données. Sans précisions sur l’arrêt programmé, ces composants peuvent rentrer de manière injustifiée et pendant une longue période dans un mode de fonctionnement dégradé. En outre, ces autres composants peuvent générer des incohérences dans leur surveillance et donc entrainer un remplacement erroné par le service après-vente. Un deuxième aspect de l’invention concerne un programme informatique comportant des instructions pour la mise en œuvre du procédé selon le premier aspect de l’invention, lorsque ces instructions sont exécutées par un processeur. Un troisième aspect de l’invention concerne un système configuré pour gérer un arrêt temporaire programmé d’un composant électronique supervisé par un dispositif de supervision, le système comportant le dispositif de supervision et le composant électronique supervisé, le système étant configuré pour être compris sur un véhicule terrestre à moteur, le composant supervisé comportant au moins un processeur et au moins une mémoire agencés pour effectuer les opérations de : identification d’un arrêt temporaire programmé ; génération d’un message d’anticipation de l’arrêt comportant une information de durée d’arrêt du composant pendant l’arrêt temporaire programmé ; transmission du message d’anticipation vers le dispositif de supervision ; le dispositif de supervision comportant au moins un processeur et au moins une mémoire agencés pour effectuer l’opération de : arrêt de la supervision du composant par le dispositif de supervision pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Un quatrième aspect de l’invention concerne un véhicule configuré pour comprendre le système selon le troisième aspect de l’invention. D’autres caractéristiques et avantages de l’invention apparaîtront à l’examen de la description détaillée ci-après, et des dessins annexés sur lesquels : est un diagramme illustrant les étapes d’un procédé selon un mode de réalisation de l’invention ; illustre la structure d’un dispositif selon un mode de réalisation de l’invention. L’invention est décrite ci-après dans son application, non limitative, au cas d’un véhicule automobile comprenant un composant électronique, un dispositif de supervision et un composant secondaire. Une telle application est purement illustrative et réduite à quelques composants pour la clarté du propos mais, en pratique, l’invention est utilisée par plusieurs dizaines ou centaines de composants, calculateurs en particulier, présents dans le véhicule. Par ailleurs, l’invention peut être mise en œuvre sur tout type de véhicule terrestre à moteur tel qu’une motocyclette, un autocar ou encore un robot dans une usine. La figure 1 illustre un procédé, selon un mode de réalisation de l’invention. Le procédé concerne la gestion d’un arrêt temporaire programmé d’un composant électronique supervisé par un dispositif de supervision. Le composant électronique correspond à n’importe quel type de composant présent dans le véhicule et raccordé par un réseau interne au dispositif de supervision. Le réseau interne au véhicule correspond à tout réseau de communication configuré pour un échange de données entre au moins deux composants électronique du véhicule. Des exemples de réseaux internes filaires sont les réseaux CAN, pour Controller Area Network et réseau de contrôle de zone en français, les réseaux Ethernet, Flexray ou encore LIN pour Local Interconnect Network, ou Réseau Interconnecté local en français. Des exemples de réseaux internes radiofréquence sont les réseaux LoRa, bluetooth ou encore wifi. Le composant électronique correspond à tout composant configuré pour traiter toute donnée relative au fonctionnement du véhicule. Un exemple de composant est un calculateur, encore appelé ECU pour Electronic Control Unit et unité de commande électronique en français. Le calculateur peut avoir la charge de diverses fonctions dans le véhicule telles que la gestion de l’aide à la conduite, l’actionnement des essuie-glaces ou encore la diffusion de musique dans l’habitacle. Un autre exemple de composant est le boitier de connectivité, encore appelé TCU pour Telematic Control Unit et unité de contrôle télématique en français. Le dispositif de supervision VSM correspond à tout dispositif configuré pour vérifier le bon fonctionnement d’au moins un composant électronique. En particulier, dans un mode de réalisation, la supervision par le dispositif de supervision comprend une réception périodique de messages de vérification depuis le composant, configurés pour informer le dispositif de supervision du fonctionnement normal du composant. Ainsi, la supervision est un mécanisme qui permet au dispositif de supervision de superviser la présence d'une autre composant en vérifiant la réception continue d'une trame périodique (ou mixte) envoyée par le composant supervisée. Lorsque la trame n’est pas reçue, une erreur est générée et remontée aux entités (après-vente, etc.) en charge du suivi des défauts. Le dispositif de supervision peut être compris (notamment en tant que simple module logiciel) au sein d’un composant électronique, tel que par exemple le BSI, pour boitier de servitude intelligent. A une étape 2, le composant ECU identifie un arrêt temporaire programmé Dstop. L’arrêt temporaire programmé correspond par exemple à un redémarrage d’ECU dans le cadre d’une mise à jour de son micrologiciel, ou firmware. D’autre types d’arrêts temporaires programmés tels que liés à la simple mise à jour d’un logiciel ou à une montée de version d’un des réseaux auquel est raccordé ECU sont possibles. Le composant identifie lui-même l’arrêt temporaire programmé mais cela peut être fait de manière servile, par exemple parce qu’un composant en charge du fonctionnement d’ECU a détecté l’arrêt. L’arrêt peut concerner la totalité du fonctionnement du composant ou seulement une partie du fonctionnement du composant. Typiquement, un flashage du composant nécessite un redémarrage de celui-ci et donc son arrêt complet mais d’autres arrêts ne concernent que certaines fonctions ou parties du composant. Par exemple, pour certaines mises à jour logicielles, le composant n’est pas arrêté mais la mise à jour provoque un arrêt de l’envoi des trames périodiques vers le dispositif de supervision. Le fonctionnel normal est suspendu pour réaliser la mise à jour de certaines fonctions mais le composant n’est pas nécessairement totalement arrêté. A une étape 4, une étape de génération par le composant d’un message d’anticipation MS de l’arrêt comportant une information de durée d’arrêt du composant pendant l’arrêt temporaire programmé est mise en œuvre. Dans un mode de réalisation, le message d’anticipation comporte en outre l’un au moins des éléments parmi : un identifiant du composant ECU ; une information configurée pour expliquer la raison de l’arrêt temporaire. L’identifiant du composant correspond par exemple à son adresse dans un réseau interne. L’information configurée pour expliquer la raison de l’arrêt temporaire est par exemple : mise à jour firmware, montée de version réseau Flexray, etc. La durée d’arrêt du composant pendant l’arrêt temporaire programmé correspond à la durée pendant laquelle le composant ne pourra être en mesure d’être supervisé par le dispositif de supervision. Cette durée peut ainsi prendre en compte le temps requis pour relancer le logiciel de l’ECU en charge de transmettre les trames périodiques de supervision par exemple. Le message d’anticipation est transmis à une étape 8 depuis le composant vers le dispositif de supervision, qui le reçoit à une étape 10. Le message d’anticipation peut être un message dédié ou peut-être intégré dans un autre message, par exemple dans le message de vérification (trame périodique de supervision). Le message d’anticipation peut être transmis de manière redondante (par exemple 3 fois en 10 millisecondes). A une étape 12, la supervision du composant est arrêtée par le dispositif de supervision pendant la durée Dstop d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation MS. Une fois la durée Dstop écoulée, à une étape 20, le dispositif de supervision VSM reprend sa supervision du composant ECU. Ainsi, par exemple, si après Dstop VSM ne reçoit pas de message de vérification (trame périodique de supervision), il détecte une erreur. Dans un mode de réalisation optionnel (étapes en pointillées sur la figure 1), le procédé comporte en outre les étapes de : à une étape 18, sur l’identification du composant d’une remise en marche du composant, envoi d’un message d’information de reprise depuis le composant vers le dispositif de supervision. Le message d’information de reprise peut comporter l’information de reprise, l’identifiant du composant ECU et une information configurée pour expliquer la raison de la reprise ; à l’étape 20, sur réception du message de reprise par le dispositif de supervision, reprise de la supervision du composant par le dispositif de supervision. Ainsi, si ECU détecte une remise en marche anticipée, il provoque le redémarrage de la supervision avant l’écoulement de Dstop. Dans un mode de réalisation, le message d’information de reprise est transmis dans tous les cas (avant ou après écoulement de Dstop). Dans un mode de réalisation optionnel (étapes en pointillées sur la figure 1), un composant secondaire ECU2 est en outre compris sur le véhicule. Le composant secondaire surveille le fonctionnement du composant ECU. Il s’agit typiquement d’un composant ECU2 dont le fonctionnement est lié au fonctionnement d’ECU. Par exemple, cela peut-être le cas d’un composant ECU2 (calculateur de conduite autonome par exemple) qui ne peut fonctionner sans échanger en permanence avec ECU (boitier de connectivité TCU par exemple). En effet, dans l’exemple du calculateur de conduite autonome, et selon les niveaux d’autonomie, il peut être nécessaire d’avoir en permanence un lien fonctionnel avec le boitier de connectivité pour avoir à disposition des données d’environnement à jour. Le procédé comporte alors en outre à l’étape 10 : sur réception par le dispositif de supervision du message d’anticipation, transmission depuis le dispositif de supervision vers le composant secondaire d’un message d’information secondaire comportant l’information de durée d’arrêt du composant. Il peut s’agir d’un simple transfert du message d’anticipation MS ou de l’intégration de la durée Dstop dans tout autre message destiné à ECU2. Plusieurs modes de réalisation sont possibles pour la transmission du message d’information secondaire. Le message peut-être transmis par VSM en diffusion, broadcast en anglais, c’est-à-dire à tout composant connecté à VSM dans le réseau interne concerné. Il peut également être transmis aux seuls composants concernés (une table de liens entre composants est alors présente dans VSM). Dans un autre mode de réalisation, ECU transmet directement l’information à ECU2. Une fois le message d’information secondaire reçu à une étape 14, un arrêt de la surveillance du composant supervisé ECU par le composant secondaire ECU2 pendant la durée d’arrêt Dstop telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation est mis en œuvre à une étape 16. La surveillance reprend à une étape 22 après Dstop. Dans un mode de réalisation, la remise en marche anticipée (étape 18) est également prise en compte par ECU2 par transfert de message de VSM. La figure 2 représente un exemple de dispositif D compris dans un système configuré pour gérer un arrêt temporaire programmé d’un composant électronique supervisé par un dispositif de supervision, le système mettant en œuvre le procédé décrit ci-avant en référence à la figure 1 et comportant le dispositif de supervision VSM, le composant électronique ECU supervisé et, dans un mode de réalisation, le composant ECU2. Ce dispositif D peut prendre la forme d’un boitier comprenant des circuits imprimés, de tout type d’ordinateur ou encore d’un smartphone. Le dispositif D comprend une mémoire vive 100 pour stocker des instructions pour la mise en œuvre par un processeur 200 d’au moins une étape des procédés tels que décrits ci-avant. Le dispositif comporte aussi une mémoire de masse 300 pour le stockage de données destinées à être conservées après la mise en œuvre du procédé. Le dispositif D peut en outre comporter un processeur de signal numérique (DSP) 400. Ce DSP 400 reçoit des données pour mettre en forme, démoduler et amplifier, de façon connue en soi ces données. Le dispositif comporte également une interface d’entrée 500 pour la réception des données mises en œuvre par des procédés selon l’invention et une interface de sortie 600 pour la transmission des données mises en œuvre par le procédé. La présente invention ne se limite pas aux formes de réalisation décrites ci-avant à titre d’exemples ; elle s’étend à d’autres variantes. Ainsi, il a été décrit un mode de réalisation correspondant à une architecture électronique exemplatif (un composant ECU, un dispositif VSM, etc.) pour un véhicule automobile. La présente invention est également applicable à d’autres architectures électroniques (nombre différent de calculateurs, etc.). Procédé de gestion d’un arrêt temporaire programmé d’un composant électronique (ECU) supervisé par un dispositif de supervision (VSM), le composant et le dispositif étant compris dans un véhicule terrestre à moteur, le procédé comportant les étapes de : identification (2) par le composant d’un arrêt temporaire programmé ; génération (4) par le composant d’un message d’anticipation de l’arrêt comportant une information de durée d’arrêt du composant pendant l’arrêt temporaire programmé ; transmission (8 ; 10) du message d’anticipation depuis le composant vers le dispositif de supervision ; arrêt (12) de la supervision du composant par le dispositif de supervision pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Procédé selon la revendication 1, dans lequel le message d’anticipation comporte en outre l’un au moins des éléments parmi : un identifiant du composant ; une information configurée pour expliquer la raison de l’arrêt temporaire. Procédé selon l’une des revendications précédentes, comportant en outre les étapes de : sur l’identification du composant d’une remise en marche du composant, envoi (18) d’un message d’information de reprise depuis le composant vers le dispositif de supervision ; sur réception du message de reprise par le dispositif de supervision, reprise (20) de la supervision du composant par le dispositif de supervision. Procédé selon l’une des revendications précédentes, dans lequel la supervision par le dispositif de supervision comprend une réception périodique de messages de vérification depuis le composant, configurés pour informer le dispositif de supervision du fonctionnement normal du composant. Procédé selon l’une des revendications précédentes, dans lequel un composant secondaire est en outre compris sur le véhicule, le composant secondaire surveillant le fonctionnement du composant supervisé, le procédé comportant en outre l’étape de : sur réception par le dispositif de supervision du message d’anticipation, transmission (10 ; 14) depuis le dispositif de supervision vers le composant secondaire d’un message d’information secondaire comportant l’information de durée d’arrêt du composant. Procédé selon la revendication 5, le procédé comportant en outre l’étape de : arrêt (16) de la surveillance du composant supervisé par le composant secondaire pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Programme informatique comportant des instructions pour la mise en œuvre du procédé selon l’une quelconque des revendications précédentes, lorsque ces instructions sont exécutées par un processeur (2). Système configuré pour gérer un arrêt temporaire programmé d’un composant électronique supervisé par un dispositif de supervision, le système comportant le dispositif (D, VSM) de supervision et le composant (D, ECU) électronique supervisé, le système étant configuré pour être compris sur un véhicule terrestre à moteur, le composant supervisé comportant au moins un processeur et au moins une mémoire agencés pour effectuer les opérations de : identification d’un arrêt temporaire programmé ; génération d’un message d’anticipation de l’arrêt comportant une information de durée d’arrêt du composant pendant l’arrêt temporaire programmé ; transmission du message d’anticipation vers le dispositif de supervision ; le dispositif de supervision comportant au moins un processeur et au moins une mémoire agencés pour effectuer l’opération de : arrêt de la supervision du composant par le dispositif de supervision pendant la durée d’arrêt telle qu’indiquée par l’information de durée d’arrêt du message d’anticipation. Véhicule terrestre à moteur comportant le boitier de traitement selon la revendication 8.