Brevet FR3131785A1 — publié le 20230714

TITRE : Procédé de surveillance d’un système électronique Procédé de surveillance d’un système électronique (142) composé de systèmes (150, 152, 156, 158) dans un contrôleur. L’unité de surveillance externe du contrôleur exploite un cycle de fonctionnement précédent du système (142) et interroge le contrôleur. Un pilote interne de l’unité pose au moins une nouvelle question à des unités de surveillance interne, et après un certain temps, le contrôleur collecte les réponses partielles internes de toutes les unités. Le pilote de l’unité fournit une réponse externe à l’unité de surveillance externe. Figure 2a Procédé de surveillance d’un système électronique DOMAINE DE L’INVENTION La présente invention se rapporte à un procédé de surveillance d’un système électronique et un dispositif pour la mise en œuvre du procédé. L’invention se rapporte également à un programme d’ordinateur et à un support de mémoire lisible par une machine. ETAT DE LA TECHNIQUE Dans le domaine de la sécurité fonctionnelle on utilise l’expression de niveau d’intégrité et de sécurité encore appelé niveau de sécurité ou niveau d’exigence de sécurité. Le niveau d’intégrité et de sécurité sert à apprécier les unités électriques, électroniques ou électronique programmable par rapport à la fiabilité des fonctions de sécurité. A partir du niveau recherché on a déduit des principes de construction orientés sécurité qu’il faut respecter pour minimiser le risque d’un dysfonctionnement. Tous les systèmes actuels qui appliquent de tels niveaux d’intégrité et de sécurité doivent implémenter différents mécanismes de sécurité ou de communication. Par exemple, toutes les unités de commande de moteur utilisent une communication question-réponse (Q/R) implémentée comme mécanisme de sécurité entre un contrôleur principal de fonction interne et une unité de surveillance externe ou un « chien de garde » externe. L’unité de surveillance externe garantit la sécurité de la transmission de l’état de sécurité du système en cas de dysfonctionnement du contrôleur principal de fonction interne. La solution connue comprend les étapes suivantes (voir ) : 1. Une unité de surveillance externe exploite le cycle précédent et émet une question Q. 2. un contrôleur doit lire la question Q (référence 8) de l’unité de surveillance externe par un canal de communication ou une unité périphérique à l’instant 16 ; une interruption ou une autre activité planifiée ou une autre tâche planifiée ou une opération est nécessaire. 3. Le contrôleur doit mettre à disposition la question Q (référence 8) pour tous les sous-systèmes internes correspondant (référence 10) et informer les sous-systèmes (références 20, 22, 24, 26, …) de cette nouvelle disposition d’interrogation. 4. Après un temps donné et dans la fenêtre de temps de l’unité de surveillance externe, rapporté à un comportement correct du contrôleur, le contrôleur doit collecter toutes les réponses partielles (référence 28) et calculer une réponse définitive ou de conclusion (R référence 30). 5. Le contrôleur doit envoyer la réponse définitive (R référence 30) à l’unité de surveillance externe et pour cela il faut une seconde interruption ou une autre tâche planifiée et une opération. Cela se fait à l’instant 18 ; cet instant 18 doit se situer dans une fenêtre de temps prédéfinie (référence 14) ; dans le cas contraire, cette réponse du contrôleur doit être évaluée comme non valable par l’unité de surveillance externe. Cette opération est répétée pendant toute la période de fonctionnement critique du contrôleur, c’est-à-dire une nouvelle interrogation (référence 54) à l’instant 52 de l’unité de surveillance externe doit être traitée par tous les sous-systèmes surveillés 50 et la dernière réponse (référence 56) doit être placée dans l’unité de surveillance externe à l’instant 58 à l’intérieur de la fenêtre de temps (référence 60). On se reportera au document DE 102 05 809 A1. La question 8 et la nouvelle question 54 diffèrent dans le cas d’un fonctionnement correct normal du système. La nouvelle question 54 peut être la même le cas échéant être la répétition de la question 8 si la réponse précédente (référence 30) est fausse ou si l’instant du placement de la réponse était à l’extérieur de la fenêtre de temps 14. Comme la question de l’unité de surveillance externe est connue de toutes les unités de surveillance interne et également le type d’unité de surveillance externe ou le type de génération de la nouvelle question sont connus, les systèmes surveillés peuvent également recueillir simplement des informations non voulues concernant le travail ou l’état de sécurité de l’ensemble du système 13. Dans chaque cas il n’existe aucune question à terme ou réponse. La question de l’unité de surveillance externe est connue de toutes les unités surveillées en interne et la nature et le mode de collecte des réponse partielles interne ou d’autres fonctions sont connues et le même produit est envoyé à l’unité de surveillance externe. Il n’existe dans tous les cas aucune question interne ou réponse. La question de l’unité de surveillance externe est connue de toutes les unités surveillées de manière interne et la nature de la collecte des réponses partielles internes ou de leur fonction est connue et le même produit sera envoyé à l’unité de surveillance externe. On se reportera à la pour la solution connue décrite ci-dessus. Un problème principal de résolution est celui d’une partie dominante pour l’entretien ou le traitement de la communication Q/R et de l’unité de surveillance externe encore appelée « chien de garde externe ». Cela limite également l’intervalle de temps de traitement de défaut le plus court (FHTI : intervalle de temps de traitement des défauts) avec un effet sur l’intervalle de tolérance de défaut (FTTI : intervalle de temps de tolérance aux défauts). Comme les systèmes actuels exigent pour les véhicules électriques qui se développent de plus en plus, des temps de saisie et de réaction beaucoup plus courts aux défauts et aux défaillances dans le système, il est nécessaire de développer un nouveau concept d’un type de communication et d’entretien plus rapide voire différent d’une unité de surveillance externe. Le document DE 102 05 809 A1 décrit un procédé et un dispositif pour surveiller la commande des déroulements de fonctionnement dans un véhicule. Selon ce procédé, on exécute des fonctions de commande et des fonctions de surveillance dans l’unité de commande. Il est prévu qu’un module de surveillance transmette au moins une interrogation à l’unité de commande, celle-ci comportant une première fonction de surveillance. A partir de cette question, dans une seconde trame de temps, on calcule une réponse partielle. A partir des réponses partielles, on forme une réponse. La formation de la réponse est activée dans une première trame de temps, et l’unité de commande transmet la réponse au module de surveillance. En fonction de la réponse, le modèle de surveillance reconnaît des défauts concernant l’exécution des fonctions de commande. La première et la seconde trames de temps sont asynchrone l’une par rapport à l’autre. EXPOSE ET AVANTAGES DE L’INVENTION La présente invention a pour objet un procédé de surveillance d’un système électronique composé d’un certain nombre de systèmes dans un contrôleur, ce procédé exécuté avec une unité de surveillance externe comprenant les étapes suivantes : l’unité de surveillance externe exploite un cycle de fonctionnement précédent du système et sur le fondement de cette exploitation il fournit une interrogation externe au contrôleur, un pilote interne de l’unité de surveillance externe dans le contrôleur pose au moins une nouvelle question à des unités de surveillance interne dans le contrôleur, après un certain temps, le collecteur collecte les réponses partielles internes de toutes les unités de surveillance interne dans le contrôleur, le pilote de l’unité de surveillance externe dans le contrôleur fournit une réponse externe à l’unité de surveillance externe. Le procédé selon l’invention sert à surveiller un système électronique qui comprend un certain nombre de sous-systèmes dans un contrôleur ; le procédé est appliqué par une unité de surveillance externe qui applique les étapes suivantes évoquées ci-dessus. Le procédé prévoit les étapes suivantes selon un développement : 1. une unité de surveillance externe exploite le cycle précédent et fournit une question Q. 2. Après un temps donné et dans une fenêtre de temps de l’unité de surveillance externe, rapportée à un comportement correct du contrôleur, celui-ci lit la question Q de l’unité de surveillance externe par un canal de communication ou une unité périphérique et répond directement par une réponse R qui est intentionnellement correcte ou intentionnellement fausse en se fondant sur la réponse F du sous-système le contrôleur émet une nouvelle interrogation F vers le sous-système ou une nouvelle question différente vers le sous-système et il suffit uniquement d’une interruption ou d’une autre tâche planifiée et d’une opération. Dans ce contexte on se reportera aux figures 2a et 2b. Le procédé présenté au moins dans certains des modes de réalisation a une série d’avantages : 1. La communication avec l’unité de calcul externe peut être réunie en des sous-groupes de communication plus grands et cela permet une communication plus rapide par le même bus de communication ou les mêmes interfaces de communication. 2. Le nombre d’interruptions nécessaires ou d’appels de service est divisé par deux. Cela correspond à une économie significative de temps et de ressources de mémoire. Cela permet également un traitement voire une implémentation de plus courts FHTI. 3. Le système interne et le traitement des sous-systèmes SUBSYS_1-SUBSYS_m avec la fonction de liaison F définitive permet de disposer d’un intervalle de temps beaucoup plus grand par comparaison avec le système précédent comprenant deux appels. 4. La question Sn et la question Fn peuvent être abstraites complètement. Cela signifie que ces questions externes et internes sont séparées totalement et qu’aucun des sous-systèmes internes surveillés du contrôleur connaît la question précise de l’unité de surveillance externe autre que l’unité de traitement c’est-à-dire le pilote qui génère la ou les questions internes par une fonction octogonale par rapport à une question par laquelle est générée la question externe. Cela signifie en outre que même si la question de l’unité de surveillance suivante est répétée dans le cycle suivant, la question interne sera générée de nouveau complètement indépendamment de la question externe. Ainsi, aucune unité surveillée n’a des informations concernant la fonctionnalité globale. Cela permet également une série complètement nouvelle de produits, accélère le développement et réduit les coûts d’entretien car le fonctionnement et l’entretien de l’unité de surveillance externe est elle-même indépendante du système. Les questions Qn et Fn peuvent être reliées l’une à l’autre ou on peut utiliser une fonction totalement neuve mais à la fin la réponse Rn correspond à la question Qn seulement si la réponse Fn coïncide avec la question Fn ou encore la réponse Rn doit différer de la réponse correcte à la question Qn si la réponse Fn ne coïncide pas avec la réponse correcte à la question Fn. Cela signifie en conclusion que même si toutes les questions et réponses doivent être suffisamment éloignées, la fonction d’adaptation n’est exprimée que par un unique bit. Dans le cadre du procédé présenté, un tel résultat à un bit est toutefois « caché » à l’intérieur des fonctions Q/R et à la fois la question et aussi la réponse utilisent d’autres variables ou un autre jeu de variables. En d’autres termes, la fonction H dans le bloc AUX est une fonction de porte de la réponse correcte calculée CR ou encore le bloc H dans le bloc AUX peut retenir le calcul ou la distribution de la réponse correcte CR à la question Qn si la réponse F ne coïncide pas avec la réponse correcte du système à la question F, actualiser pendant le traitement de la question Qn de l’unité de surveillance externe et évaluer directement de la question dans la réponse Rn qui a été envoyée à l’unité de surveillance externe. Comme déjà indiqué, on peut abstraire les questions externes de l’unité de surveillance et les questions internes dans le contrôleur, c’est-à-dire que les questions internes et les questions externes sont des questions différentes générées par un tableau ou par une fonction orthogonale. La question interne est générée par la question externe. Cela implique également que la question interne est modifiée même si la question externe reste la même. Ainsi, aucun des sous-systèmes surveillés du contrôleur ne connaît la question exacte de l’unité de surveillance externe autre que l’unité de traitement c’est-à-dire le pilote qui génère la question interne par une fonction orthogonale ce qui génère la question externe. Cela signifie que le sous-système interne ne peut évaluer la question externe, ni l’état effectif de l’unité de surveillance externe. La réponse interne et la réponse externe peuvent être enchaînées et abstraites l’une de l’autre, c’est-à-dire que la réponse interne et la réponse externe sont différentes. Cela implique également que la réponse externe est modifiée même si la réponse externe reste la même. Cela signifie que la réponse interne n’est pas la réponse envoyée à l’unité de surveillance externe, mais la réponse externe correspond seulement à la réponse attendue et seulement si le format et la valeur de la réponse interne sont corrects par rapport à la question interne. La question externe a une valeur fausse ou un temps faux si la réponse interne ne correspond pas à la valeur de format attendus à la question interne. Cela est garanti par l’unité de traitement qui vérifie le temps et la valeur de la réponse interne et envoie la réponse externe correcte d’une fonction ou d’un tableau. Le dispositif présenté sert à appliquer le procédé décrit ci-dessus ; il est, par exemple, réalisé sous la forme de circuits ou de programmes. L’unité de surveillance externe et/ou le contrôleur peuvent être des composants de ce dispositif. La présente invention sera décrite ci-après de manière plus détaillée à l’aide d’un système de mise en œuvre du procédé selon l’invention représenté dans les dessins annexés dans lesquels : système pour l’application d’un procédé connu, schéma d’un système de procédé selon l’invention, système d’un procédé selon l’invention. DESCRIPTION DE MODES DE REALISATION DE L’INVENTION La montre un système pour la mise en œuvre d’un procédé connu ; le système porte globalement la référence 10. Il est en outre présenté un axe de temps 12 et une fenêtre 14 dans laquelle on a indiqué une interruption Q16 et une interruption R18. Dans le système 10 il y a m sous-systèmes parmi lesquels il y a les sous-systèmes SUBSYS_1 20, SUBSYS_2 22, SUBSYS_m-1 24 SUBSY_m 26. En outre, le système 10 a une unité d’évaluation 28. Cette unité d’évaluation 28 fournit une réponse Rn 30 à la fenêtre 14. Pour expliciter la succession chronologique, on a représenté sur le côté gauche une fenêtre antérieure 32 en traits interrompus qui reçoit une réponse Rn-1 (34). Sur le côté droit on a représenté en traits interrompus le système à un instant 50 ultérieur ainsi que la fenêtre 52 associée dans laquelle on a également indiqué une interruption Q 52 suivante et une interruption R 54 suivante. Le système 52 fournit une réponse Rn+1 56 à la fenêtre 52. La et la montrent un système pour la mise en œuvre d’un mode de réalisation du procédé portant globalement la référence 95. La solution présentée applique un concept d’enchaînement et se compose d’une unité de surveillance externe 100, d’un pilote de surveillance 180 pour l’unité de surveillance externe 100 et un système surveillé 142. Le système surveillé 142 se compose d’un ou plusieurs sous-systèmes surveillés 150, 152, 156, 158. L’unité de surveillance externe 100 a un compteur de défaut. Lorsque l’unité de surveillance externe 100 ne reçoit pas de réponse correcte ou si celle-ci est reçue en dehors de la fenêtre de temps, cela incrémente le compteur de défaut. Le compteur de défaut est seulement décrémenté si une réponse correcte est reçue dans la fenêtre de temps ouverte. Si le compteur de défaut dépasse un seuil donné, le système supérieur ou le contrôleur surveillé 205 émet un contenu de défaut et l’unité de surveillance 100 émet une signalisation au contrôleur 205 pour faire passer l’ensemble du système à l’état sécurisé. Un pilote de surveillance 180 dans le contrôleur 205 surveille également l’unité de surveillance externe 100 et compare le comportement de l’unité de surveillance 100 en tenant compte, si possible, de nombreux paramètres avec le modèle de référence. Si le procédé de l’unité de surveillance externe 100 s’écarte d’un comportement prévisible, le pilote de surveillance 180 incrémente dans le contrôleur, un compteur de défauts interne INEC. Ce compteur de défaut interne peut être réparti, c’est-à-dire mis à l’état sans défaut à condition que l’unité de surveillance interne 100 soit de nouveau réveillée et se comporte selon le modèle de référence. Le pilote de l’unité de surveillance 180 peut également initialiser l’ensemble du système ainsi que l’unité de surveillance externe 100 si le compteur de défaut interne INEC dépasse son seuil dans le pilote de surveillance. Procédé de surveillance d’un système électronique (142) composé d’un certain nombre de systèmes (150, 152, 156, 158) dans un contrôleur (205), le procédé étant exécuté avec une unité de surveillance externe (100) et comprenant les étapes suivantes : - l’unité de surveillance externe (100) exploite un cycle de fonctionnement précédent du système (142) et sur le fondement de cette exploitation il fournit une interrogation externe au contrôleur (205), - un pilote interne de l’unité de surveillance externe (100) dans le contrôleur (205) pose au moins une nouvelle question à des unités de surveillance interne dans le contrôleur (205), - après un certain temps, le collecteur (205) collecte les réponses partielles internes de toutes les unités de surveillance interne dans le contrôleur (205), - le pilote de l’unité de surveillance externe (100) dans le contrôleur (205) fournit une réponse externe à l’unité de surveillance externe (100). Procédé selon la revendication 1, selon lequel le contrôleur (205) lit les questions de l’unité de surveillance externe (100) par un canal de communication ou l’unité périphérique. Procédé selon la revendication 1 ou 2, selon lequel la réponse du contrôleur est correcte ou n’est pas correcte. Procédé selon l’une des revendications 1 à 3, selon lequel l’unité de surveillance externe (100) du contrôleur (205) est initialisée lorsque celle-ci reconnaît trop de réponses fausses dans le temps ou en valeur. Procédé selon l’une des revendications 1 à 4, selon lequel le contrôleur (205) émet une nouvelle interrogation interne à au moins l’un des sous-systèmes (150, 152, 156, 158). Procédé selon l’une des revendications 1 à 5, selon lequel le contrôleur (205) émet une nouvelle interrogation externe à tous les sous-systèmes (150, 152, 156, 158). Procédé selon l’une des revendications 1 à 6, selon lequel le contrôleur (205) émet de nouvelles interrogations à chaque sous-système (150, 152, 156, 158) ou un sous-ensemble de sous-systèmes (150, 152, 156, 158) et distingue ces interrogations les unes des autres. Procédé selon l’une des revendications 1 à 7, selon lequel l’interrogation interne est générée de nouveau, complètement dans chaque cycle, même si cette interrogation externe est la même. Procédé selon l’une des revendications 1 à 8, selon lequel on fait abstraction des interrogations externes de l’unité de surveillance externe (100) et des interrogations internes dans le contrôleur (205). Procédé selon l’une des revendications 1 à 9, selon lequel le nombre de sous-systèmes (150, 152, 156, 158) surveillés est fixé en permanence. Procédé selon l’une des revendications 1 à 9, selon lequel le nombre des sous-systèmes surveillés (150, 152, 156, 158) est actualisé dans chaque cycle. Procédé selon l’une des revendications 1 à 11, selon lequel la réponse interne et la réponse externe sont enchaînées et abstraites les unes des autres. Dispositif de surveillance d’un système électronique (142) pour l’application d’un procédé selon l’une des revendications 1 à 14. Programme d’ordinateur comportant des codes programmes conçus pour exécuter un procédé selon l’une des revendications 1 à 12 lorsque ce programme d’ordinateur est appliqué par une unité de calcul, notamment une unité de calcul dans un dispositif selon la revendication 13. Support de mémoire lisible par une machine comportant l’enregistrement d’un programme d’ordinateur selon la revendication 12.