Brevet FR3145223A1 — publié le 20240726

Un procédé de contrôle est mis en œuvre dans un véhicule comprenant un réseau de communication et une batterie cellulaire comportant au moins un capteur, au moins un module de cellule(s) connecté à un contrôleur et un calculateur de batterie couplé aux réseau de communication, capteur et contrôleur via des liaisons. Ce procédé comprend une étape (10-50) dans laquelle, lorsqu’une maintenance du calculateur de batterie est requise, on autorise cette maintenance si au moins l’une des liaisons, choisie, est déconnectée du calculateur de batterie. Figure 3. CONTRÔLE SÉCURISÉ DE MAINTENANCES D’UN CALCULATEUR D’UNE BATTERIE CELLULAIRE D’UN VÉHICULE Domaine technique de l’invention L’invention concerne les véhicules comprenant une batterie cellulaire rechargeable comportant un calculateur de batterie, et plus précisément le contrôle de maintenances d’un tel calculateur de batterie. Etat de la technique Certains véhicules, éventuellement de type automobile, comprennent une batterie cellulaire rechargeable, généralement dite « principale » (ou de traction) lorsqu’elle est chargée d’alimenter électriquement un circuit électrique principal (parfois dit « haute tension ») auquel est connectée au moins une machine motrice électrique de leur groupe motopropulseur (ou GMP). Habituellement, une telle batterie cellulaire comprend au moins un capteur (par exemple chargé de mesurer le courant qui circule dans elle), au moins un module de cellule(s) de stockage d’énergie électrique connecté à un contrôleur, et un calculateur de batterie. Ce dernier (parfois nommé BMS (« Battery Management System » - système de gestion de batterie)) est couplé via des liaisons ou interfaces (analogiques ou numériques) à chaque capteur et chaque contrôleur, et à un réseau de communication de son véhicule (éventuellement multiplexé). Le calculateur de batterie est particulièrement important dans un véhicule car il centralise les mesures de courant, de tension et de température interne réalisées dans sa batterie cellulaire, et détermine des paramètres de sa batterie cellulaire en fonction de ces mesures, et notamment sa résistance interne, sa tension minimale, l’état de santé (ou SoH (« State of Health »)) en cours de chacun de ses modules de cellule(s), et son état de charge en cours (ou SoC (« State of Charge »)). Par conséquent, certaines au moins des opérations de maintenance (au moins l’écriture de données et éventuellement la lecture de données) de ce calculateur de batterie doivent être sécurisées. C’est tout particulièrement le cas lorsqu’il fait l’objet d’un remplacement ou lorsqu’au moins un module de cellule(s) est remplacé dans sa batterie cellulaire. Actuellement, une fois un remplacement terminé, un technicien effectue certaines opérations de maintenance fonction du type de ce remplacement. Dans le cas d’un remplacement d’au moins un module de cellule(s), le technicien utilise généralement des services UDS (« Unified Diagnostic Services » - services de diagnostic unifié (protocole de communication de diagnostic)) d’écriture pour mettre à jour (ou écrire) dans le calculateur de batterie l’état de santé de chaque module de cellule(s) remplacé. Dans le cas d’un remplacement du calculateur de batterie, le technicien utilise généralement des services UDS de lecture pour lire les données relatives à la batterie cellulaire qui sont stockées dans le calculateur de batterie à remplacer et des services UDS d’écriture pour écrire les données lues dans le nouveau calculateur de batterie. Au moins l’utilisation des services d’écriture est protégée par un mécanisme d’accès sécurisé (ou d’authentification), comme par exemple celui appelé en anglais Security Access (ou SA). Ce mode de maintenance s’avère insuffisamment sécurisé car le mécanisme d’accès sécurisé (ou d’authentification) est relativement facile à « casser » (ou compromettre) et/ou ne possède pas un mécanisme de traçabilité permettant de tracer les opérations de maintenance réalisées ainsi que les auteurs de ces opérations, et donc des opérations d’écriture de données de la batterie cellulaire peuvent être faites en l’absence de remplacement de module(s) de cellule(s) et/ou du calculateur de batterie, par exemple pour une modification frauduleuse de ces données dans le cadre d’une revente du véhicule. Or, une telle modification frauduleuse peut mettre en danger le véhicule et ses passagers et/ou réduire la durée de vie du véhicule, et de surcroît peut nuire à l’image du constructeur du véhicule. L’invention a donc notamment pour but d’améliorer la situation. Présentation de l’invention Elle propose notamment à cet effet un procédé de contrôle destiné à être mis en œuvre dans un véhicule comprenant un réseau de communication et une batterie cellulaire comportant au moins un capteur, au moins un module de cellule(s) connecté à un contrôleur et un calculateur de batterie couplé aux réseau de communication, capteur et contrôleur via des liaisons. Ce procédé de contrôle se caractérise par le fait qu’il comprend une étape dans laquelle, lorsqu’une maintenance du calculateur de batterie est requise, on autorise cette maintenance si au moins l’une des liaisons, choisie, est déconnectée du calculateur de batterie. Grâce à l’invention, une personne malveillante, voulant modifier des données du calculateur de batterie, est contrainte de désolidariser la batterie cellulaire et de déconnecter au moins une liaison choisie connectée à une entrée/sortie du calculateur de batterie, ce qui est de nature à l’en dissuader. Le procédé de contrôle selon l’invention peut comporter d’autres caractéristiques qui peuvent être prises séparément ou en combinaison, et notamment : - dans son étape, on peut autoriser la maintenance si la liaison concernée entre le calculateur de batterie et le réseau de communication est déconnectée et si au moins l’une des liaisons concernées, choisie, entre le calculateur de batterie et les capteur et contrôleur est déconnectée ; - dans son étape, on peut autoriser la maintenance lorsqu’en outre un mécanisme d’accès sécurisé (ou d’authentification) prédéfini a été utilisé pour requérir cette maintenance ; - dans son étape, l’autorisation peut être nécessaire seulement en cas de réception par le calculateur de batterie de requêtes prédéfinies de maintenance (par exemple à fort enjeu de cyber sécurité) ; - en présence de la dernière option, dans son étape, les requêtes prédéfinies de maintenance peuvent être choisies parmi une requête d’écriture de données représentatives d’un état de santé d’un module de cellule(s), et une requête d’écriture de données, préalablement lues dans un calculateur de batterie venant d’être remplacé, dans un nouveau calculateur de batterie et devant être stockées dans ce dernier ; - dans son étape, on peut détecter une déconnexion d’une liaison choisie en cas de détermination dans le calculateur de batterie d’une information qui est représentative d’un défaut de connexion de cette liaison choisie au calculateur de batterie ; - dans son étape, on peut refuser de délivrer l’autorisation lorsque le calculateur de batterie est placé dans un mode de fonctionnement (généralement dit « d’intégration électronique ») dans lequel il est interdit d’émettre sur le réseau de communication ou pour un autre mode de fonctionnement propre à inhiber un diagnostic fait sur des entrées/sorties (numériques ou analogiques) du calculateur de batterie. L’invention propose également un produit programme d’ordinateur comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement, est propre à mettre en œuvre un procédé de contrôle du type de celui présenté ci-avant, dans un véhicule comprenant un réseau de communication et une batterie cellulaire comportant au moins un capteur, au moins un module de cellule(s) connecté à un contrôleur et un calculateur de batterie couplé aux réseau de communication, capteur et contrôleur via des liaisons, pour contrôler des maintenances dans le calculateur de batterie. L’invention propose également un dispositif de contrôle destiné à équiper un véhicule comprenant un réseau de communication et une batterie cellulaire comportant au moins un capteur, au moins un module de cellule(s) connecté à un contrôleur et un calculateur de batterie couplé aux réseau de communication, capteur et contrôleur via des liaisons. Ce dispositif de contrôle se caractérise par le fait qu’il comprend au moins un processeur et au moins une mémoire agencés pour effectuer les opérations consistant, lorsqu’une maintenance du calculateur de batterie est requise, à autoriser cette maintenance si au moins l’une des liaisons, choisie, est déconnectée du calculateur de batterie. L’invention propose également un véhicule, éventuellement de type automobile, et comprenant, d’une part, un réseau de communication et une batterie cellulaire comportant au moins un capteur, au moins un module de cellule(s) connecté à un contrôleur et un calculateur de batterie couplé aux réseau de communication, capteur et contrôleur via des liaisons, et, d’autre part, un dispositif de contrôle du type de celui présenté ci-avant. Brève description des figures D’autres caractéristiques et avantages de l’invention apparaîtront à l’examen de la description détaillée ci-après, et des dessins annexés, sur lesquels : illustre schématiquement et fonctionnellement un exemple de réalisation d’un véhicule comprenant un groupe motopropulseur, à machine motrice électrique connectée à un circuit électrique principal auquel est connectée une batterie cellulaire, et un dispositif de contrôle selon l’invention, illustre schématiquement et fonctionnellement un exemple de réalisation d’un calculateur de batterie comprenant un exemple de réalisation d’un dispositif de contrôle selon l’invention, et illustre schématiquement un exemple d’algorithme mettant en œuvre un procédé de contrôle selon l’invention. Description détaillée de l’invention L’invention a notamment pour but de proposer un procédé de contrôle, et un dispositif de contrôle DC associé, destinés à permettre un contrôle sécurisé de maintenances d’un calculateur de batterie CB faisant partie d’une batterie cellulaire BC d’un véhicule V. Dans ce qui suit, on considère, à titre d’exemple non limitatif, que le véhicule V est de type automobile. Il s’agit par exemple d’une voiture, comme illustré sur la . Mais l’invention n’est pas limitée à ce type de véhicule. Elle concerne en effet tout type de véhicule comprenant une batterie cellulaire pouvant fournir ou recevoir de la puissance électrique. Ainsi, elle concerne, par exemple, les véhicules terrestres (véhicules utilitaires, camping-cars, minibus, cars, camions, motocyclettes, engins de voirie, engins de chantier, engins agricoles, engins de loisir (motoneige, kart), et engins à chenille(s), par exemple), les bateaux et les aéronefs. Par ailleurs, on considère dans ce qui suit, à titre d’exemple non limitatif, que le véhicule V comprend un groupe motopropulseur (ou GMP) de type tout électrique (et donc dont la motricité est assurée exclusivement par au moins une machine motrice électrique MME). Mais le GMP pourrait être de type hybride (thermique et électrique). On a schématiquement représenté sur la un véhicule V comprenant une chaîne de transmission à GMP électrique, un réseau de bord RB, un circuit électrique principal CEP, une batterie cellulaire BC, un convertisseur CV, une batterie de servitude BS, un réseau de communication RC, et un dispositif de contrôle DC selon l’invention. Le réseau de bord RB est un réseau d’alimentation électrique auquel sont couplés des équipements (ou organes) électriques (ou électroniques) qui consomment de l’énergie électrique. La batterie de servitude BS est chargée de fournir de l’énergie électrique au réseau de bord RB, en complément de celle fournie par le convertisseur CV alimenté par la batterie cellulaire BC via le circuit électrique principal CEP, et parfois à la place de ce convertisseur CV. Par exemple, cette batterie de servitude BS peut être agencée sous la forme d’une batterie de type très basse tension (typiquement 12 V, 24 V ou 48 V). Elle est rechargeable au moins par le convertisseur de courant CV. On considère dans ce qui suit, à titre d’exemple non limitatif, que la batterie de servitude BS est de type Lithium-ion 12 V. Le circuit électrique principal (ou haute tension) CEP est connecté, d’une part, à la batterie cellulaire BC, et, d’autre part, à des équipements électroniques, comme par exemple le convertisseur CV et la machine motrice électrique MME. Il permet aussi la recharge de la batterie cellulaire BC par une source d’alimentation externe et temporairement couplée à un connecteur de recharge CR du véhicule V. La chaîne de transmission a un GMP qui est, ici, purement électrique et donc qui comprend, notamment, une machine motrice électrique MME. On entend ici par « machine motrice électrique » une machine électrique agencée de manière à fournir du couple pour déplacer le véhicule V lorsqu’elle est alimentée en énergie électrique, ainsi qu’éventuellement à récupérer du couple dans la chaîne de transmission. Le fonctionnement de la chaîne de transmission (et donc du GMP) est supervisé par un calculateur de supervision CS. La machine motrice électrique MME (ici un moteur électrique) est ici couplée à la batterie cellulaire BC via le circuit électrique principal CEP, afin d’être alimentée en énergie électrique, ainsi que d’alimenter cette batterie cellulaire BC en énergie électrique, par exemple lors d’une phase de freinage récupératif. Par ailleurs, cette machine motrice électrique MME est couplée à un arbre moteur, pour lui fournir du couple par entraînement en rotation. Ici, l’arbre moteur est couplé à un arbre de transmission via un réducteur RD, et cet arbre de transmission est couplé à un premier train T1 (ici de roues), de préférence via un différentiel DF. Ce premier train T1 est ici situé dans la partie avant PVV du véhicule V. Mais dans une variante ce premier train T1 pourrait être celui qui est ici référencé T2 et qui est situé dans la partie arrière PRV du véhicule V. La batterie cellulaire BC alimente ici la machine motrice électrique MME. Elle est de ce fait dite principale (ou de traction). Elle comprend au moins un capteur CC, au moins un module de cellule(s) MC connecté à un contrôleur CM, et un calculateur de batterie CB. Ce dernier (CB) est couplé via des liaisons ou interfaces (analogiques ou numériques) à chaque capteur CC et chaque contrôleur CM, et à un réseau de communication RC de son véhicule V (éventuellement multiplexé (par exemple de type CAN (« Controller Area Network »), LIN (« Local Interconnect Network »), FLEXRAY, ou Ethernet). Un tel réseau de communication RC permet à des équipements électroniques embarqués de communiquer entre eux pour s’échanger des données et/ou des messages. Dans l’exemple illustré non limitativement sur la , le calculateur de batterie CB est couplé au réseau de communication RC via une première liaison, le capteur CC est couplé au réseau de communication RC via une deuxième liaison et au calculateur de batterie CB via une troisième liaison, et chaque contrôleur CM (associé à un module de cellule(s) MC) est couplé au calculateur de batterie CB via une quatrième liaison. Par exemple, et comme illustré non limitativement sur la , chaque capteur CC, chaque contrôleur CM et le calculateur de batterie CB peuvent faire partie d’un boîtier de batterie BB. Egalement par exemple, le capteur CC peut être chargé de mesurer le courant qui circule dans sa batterie cellulaire BC. Mais il pourrait s’agir d’un capteur chargé de mesurer la tension aux bornes de sa batterie cellulaire BC ou la température interne dans sa batterie cellulaire BC. Le (chaque) module de cellule(s) MC comprend au moins une cellule de stockage d’énergie électrique CE. Chaque cellule (de stockage d’énergie électrique) CE est éventuellement électrochimique (dans ce cas elle peut, par exemple, être de type lithium-ion (ou Li-ion) ou Ni-Mh ou Ni-Cd). Egalement par exemple, la batterie cellulaire BC peut être de type basse tension (typiquement 450 V à titre illustratif). Mais elle pourrait être de type moyenne tension ou haute tension. Le calculateur de batterie CB est notamment chargé de centraliser les mesures de courant, de tension et de température interne réalisées dans sa batterie cellulaire BC, et de déterminer des paramètres de sa batterie cellulaire BC en fonction de ces mesures, et notamment sa résistance interne, sa tension minimale, l’état de santé (ou SoH (State of Health)) en cours de chaque module de cellule(s) MC, et son état de charge en cours (ou SoC (State of Charge)). On notera, comme illustré non limitativement sur la , que le convertisseur CV peut faire partie d’un chargeur CH connecté électriquement au connecteur de recharge CR. On notera également que dans l’exemple illustré non limitativement sur la le véhicule V comprend aussi un boîtier de distribution BD auquel sont couplés la batterie de servitude BS, le convertisseur CV et le réseau de bord RB. Ce boîtier de distribution BD est chargé de distribuer dans le réseau de bord RB l’énergie électrique stockée dans la batterie de servitude BS ou produite par le convertisseur CV, pour l’alimentation des organes (ou équipements) électriques couplés au réseau de bord RB en fonction de demandes d’alimentation reçues (notamment du calculateur de supervision CS du GMP). Comme évoqué plus haut, l’invention propose notamment un procédé de contrôle destiné à permettre un contrôle sécurisé de maintenances du calculateur de batterie CB de la batterie cellulaire BC du véhicule V. Ce procédé (de contrôle) peut être mis en œuvre au moins partiellement par le dispositif de contrôle DC (illustré au moins partiellement sur les figures 1 et 2) qui comprend à cet effet au moins un processeur PR1, par exemple de signal numérique (ou DSP (« Digital Signal Processor »)), et au moins une mémoire MD. Ce dispositif de contrôle DC peut donc être réalisé sous la forme d’une combinaison de circuits ou composants électriques ou électroniques (ou « hardware ») et de modules logiciels (ou « software »). A titre d’exemple, il peut s’agir d’un microcontrôleur. La mémoire MD est vive afin de stocker des instructions pour la mise en œuvre par le processeur PR1 d’une partie au moins du procédé de contrôle. Le processeur PR1 peut comprendre des circuits intégrés (ou imprimés), ou bien plusieurs circuits intégrés (ou imprimés) reliés par des connections filaires ou non filaires. On entend par circuit intégré (ou imprimé) tout type de dispositif apte à effectuer au moins une opération électrique ou électronique. Dans l’exemple illustré non limitativement sur les figures 1 et 2, le dispositif de contrôle DC fait partie du calculateur de batterie CB. Cela est avantageux car c’est ce dernier (CB) qui stocke toutes les données relatives à sa batterie cellulaire BC. Mais cela n’est pas obligatoire. En effet, le dispositif de contrôle DC pourrait comprendre son propre calculateur dédié, lequel est alors couplé au calculateur de batterie CB. Comme illustré non limitativement sur la , le procédé (de contrôle), selon l’invention, comprend une étape 10-50 qui est mise en œuvre chaque fois qu’une maintenance (en lecture ou en écriture) du calculateur de batterie CB est requise. L’étape 10-50 du procédé comprend une sous-étape 40 dans laquelle, lorsqu’une maintenance du calculateur de batterie CB est requise, on (le dispositif de contrôle DC) autorise cette maintenance si au moins l’une des première, deuxième, troisième(s) et quatrième(s) liaisons, choisie, est déconnectée du calculateur de batterie CB. On comprendra que, selon l’implémentation du dispositif de contrôle DC, on peut déterminer si une seule des liaisons précitées, initialement choisie, est déconnectée, ou bien si au moins deux des liaisons précitées, initialement choisies, sont déconnectées. On comprendra également que si au moins une liaison initialement choisie est connectée, alors on (le dispositif de contrôle DC) refuse d’autoriser la maintenance qui a été requise. Il est important de noter que d’un véhicule à l’autre, ou d’un calculateur à un autre suffisamment enfoui dans le véhicule V et très difficilement accessible, les liaisons choisies (devant être déconnectées en vue de l’obtention de l’autorisation de maintenance) peuvent éventuellement varier d’un calculateur de batterie à un autre, ce qui est de nature à renforcer la sécurité des maintenances. Ainsi, lorsqu’une personne malveillante veut modifier (ou corrompre) des données stockées dans un calculateur de batterie CB, elle ne peut le faire qu’après avoir désolidarisé la batterie cellulaire BC du véhicule V et déconnecté au moins une liaison assurant le couplage d’une entrée/sortie du calculateur de batterie CB à un autre équipement et qu’à priori elle ne connaît pas. Cela est de nature à dissuader d’effectuer des modifications interdites dans les données qui sont stockées dans le calculateur de batterie CB. Par exemple, dans la sous-étape 40 de l’étape 10-50 on (le dispositif de contrôle DC) peut autoriser la maintenance si la première liaison entre le calculateur de batterie CB et le réseau de communication RC est déconnectée et si en plus au moins l’une (choisie) des troisième(s) et quatrième(s) liaisons entre le calculateur de batterie CB et les capteur CC et contrôleur CM est déconnectée. Mais, comme indiqué plus haut, d’autres choix de liaisons devant être déconnectées lors d’une maintenance peuvent être envisagés. Egalement par exemple, et comme illustré non limitativement sur la , l’étape 10-30 peut comprendre une sous-étape 30 dans laquelle on (le dispositif de contrôle DC) peut déterminer dans le calculateur de batterie CB l’état de connexion de chaque liaison choisie devant être déconnectée. A cet effet, dans la sous-étape 30 de l’étape 10-50 on (le dispositif de contrôle DC) peut détecter une déconnexion d’une liaison choisie du calculateur de batterie CB en cas de détermination dans ce calculateur de batterie CB d’une information qui est représentative d’un défaut de connexion de cette liaison choisie au calculateur de batterie CB. Cela est rendu possible du fait que dans un calculateur toute entrée/sortie non connectée (et devant l’être) entraîne la remontée dans ce calculateur d’une information représentative d’un défaut de connexion. Egalement par exemple, dans la sous-étape 40 de l’étape 10-50 on (le dispositif de contrôle DC) peut autoriser la maintenance requise lorsqu’en outre un mécanisme d’accès sécurisé (ou d’authentification) prédéfini a été utilisé pour requérir cette maintenance. Cela permet de sécuriser encore plus la maintenance du fait que l’on ajoute une sécurité informatique à la sécurité mécanique (déconnexion(s)). A titre d’exemple, le mécanisme d’accès sécurisé (ou d’authentification) peut être Security Access. Mais d’autres mécanismes d’accès sécurisés (ou d’authentification) connus de l’homme de l’art peuvent être utilisés. Egalement par exemple, dans l’étape 10-50 l’autorisation peut n’être nécessaire qu’en cas de réception par le calculateur de batterie CB de requêtes prédéfinies de maintenance, de préférence à fort enjeu de cyber sécurité (par exemple celles relatives à la SoH). Dans ce cas, lorsqu’une requête de maintenance est reçue par le dispositif de contrôle DC, ce dernier (DC) peut, par exemple dans une sous-étape 10 de l’étape 10-50 (comme illustré non limitativement sur la ), commencer par déterminer si elle fait partie des requêtes prédéfinies de maintenance devant faire l’objet d’une autorisation de réalisation. Dans la négative, la requête de maintenance reçue est traitée de façon classique par le dispositif de contrôle DC dans une sous-étape 20 de l’étape 10-50 (comme illustré non limitativement sur la ), par exemple lorsqu’un mécanisme d’accès sécurisé (ou d’authentification) prédéfini a été utilisé. En revanche, dans l’affirmative on (le dispositif de contrôle DC) effectue la sous-étape 30 afin de déterminer si chaque liaison choisie est effectivement déconnectée. Dans la négative, on (le dispositif de contrôle DC) interdit la maintenance dans une sous-étape 50 de l’étape 10-50 (comme illustré non limitativement sur la ). Dans l’affirmative, on (le dispositif de contrôle DC) autorise la maintenance dans la sous-étape 40 (éventuellement après vérification si en outre le mécanisme d’accès sécurisé (ou d’authentification) prédéfini a été utilisé). Egalement par exemple, dans l’étape 10-50 les requêtes prédéfinies de maintenance peuvent être choisies parmi une requête d’écriture de données représentatives de l’état de santé d’un module de cellule(s) MC, et une requête de d’écriture de données préalablement lues dans un calculateur de batterie CB venant d’être remplacé dans un nouveau calculateur de batterie CB et devant être stockées dans ce dernier (CB). Cette liste est donnée à titre d’exemple, et donc au moins l’une des requêtes prédéfinies de maintenance de cette liste peut être remplacée par une autre et/ou au moins une autre requête prédéfinie de maintenance peut être ajoutée à cette liste. Egalement par exemple, dans l’étape 10-50 (par exemple dans la sous-étape 40), on (le dispositif de contrôle DC) peut refuser de délivrer l’autorisation lorsque le calculateur de batterie CB est placé dans un mode de fonctionnement dans lequel il est interdit d’émettre sur le réseau de communication RC (mode de fonctionnement généralement dit « d’intégration électronique ») ou pour un autre mode de fonctionnement qui est propre à inhiber un diagnostic fait sur des entrées/sorties (numériques ou analogiques) du calculateur de batterie CB. Cette dernière option permet de s’assurer qu’il n’existe pas un mode de maintenance, de montage ou de réparation qui pourrait faire croire que le calculateur de batterie CB est déconnecté du véhicule V (et plus précisément de son réseau de communication RC). On notera également, comme illustré non limitativement sur la , que le calculateur de batterie CB (ou le calculateur du dispositif de contrôle DC) peut aussi comprendre une mémoire de masse MM1, notamment pour stocker les informations représentatives des états de connexion des liaisons du calculateur de batterie CB ainsi que d’éventuelles données intermédiaires intervenant dans tous ses calculs et traitements. Par ailleurs, ce calculateur de batterie CB (ou le calculateur du dispositif de contrôle DC) peut aussi comprendre une interface d’entrée IE pour la réception d’au moins les états de connexion des liaisons du calculateur de batterie CB et les requêtes de maintenance, pour les utiliser dans des calculs ou traitements, éventuellement après les avoir mis en forme et/ou démodulés et/ou amplifiés, de façon connue en soi, au moyen d’un processeur de signal numérique PR2. De plus, ce calculateur de batterie CB (ou le calculateur du dispositif de contrôle DC) peut aussi comprendre une interface de sortie IS, notamment pour délivrer des messages d’autorisation ou d’interdiction de maintenance. On notera également que l’invention propose aussi un produit programme d’ordinateur (ou programme informatique) comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement de type circuits électroniques (ou hardware), comme par exemple le processeur PR1, est propre à mettre en œuvre le procédé de contrôle décrit ci-avant pour contrôler des maintenances dans le calculateur de batterie CB de la batterie cellulaire BC du véhicule V. Procédé de contrôle pour un véhicule (V) comprenant un réseau de communication (RC) et une batterie cellulaire (BC) comportant au moins un capteur (CC), au moins un module de cellule(s) (MC) connecté à un contrôleur (CM) et un calculateur de batterie (CB) couplé auxdits réseau de communication (RC), capteur (CC) et contrôleur (CM) via des liaisons, caractérisé en ce qu’il comprend une étape (10-50) dans laquelle, lorsqu’une maintenance dudit calculateur de batterie (CB) est requise, on autorise cette maintenance si au moins l’une desdites liaisons, choisie, est déconnectée dudit calculateur de batterie (CB). Procédé selon la revendication 1, caractérisé en ce que dans ladite étape (10-50) on autorise ladite maintenance si ladite liaison entre lesdits calculateur de batterie (CB) et réseau de communication (RC) est déconnectée et si au moins l’une desdites liaisons, choisie, entre ledit calculateur de batterie (CB) et lesdits capteur (CC) et contrôleur (CM) est déconnectée. Procédé selon la revendication 1 ou 2, caractérisé en ce que dans ladite étape (10-50) on autorise ladite maintenance lorsqu’en outre un mécanisme d’accès sécurisé prédéfini a été utilisé pour requérir ladite maintenance. Procédé selon l’une des revendications 1 à 3, caractérisé en ce que dans ladite étape (10-50) ladite autorisation est nécessaire en cas de réception par ledit calculateur de batterie (CB) de requêtes prédéfinies de maintenance. Procédé selon la revendication 4, caractérisé en ce que dans ladite étape (10-50) lesdites requêtes prédéfinies de maintenance sont choisies parmi une requête d’écriture de données représentatives d’un état de santé d’un module de cellule(s) (MC), et une requête d’écriture de données préalablement lues dans un calculateur de batterie (CB) venant d’être remplacé dans un nouveau calculateur de batterie (CB) et devant être stockées dans ce dernier (CB). Procédé selon l’une des revendications 1 à 5, caractérisé en ce que dans ladite étape (10-50) on détecte une déconnexion d’une liaison choisie en cas de détermination dans ledit calculateur de batterie (CB) d’une information représentative d’un défaut de connexion de cette liaison choisie audit calculateur de batterie (CB). Procédé selon l’une des revendications 1 à 6, caractérisé en ce que dans ladite étape (10-50) on refuse de délivrer ladite autorisation lorsque ledit calculateur de batterie (CB) est placé dans un mode de fonctionnement dans lequel il est interdit d’émettre sur ledit réseau de communication (RC) ou pour un autre mode de fonctionnement propre à inhiber un diagnostic fait sur des entrées/sorties dudit calculateur de batterie (CB). Produit programme d’ordinateur comprenant un jeu d’instructions qui, lorsqu’il est exécuté par des moyens de traitement, est propre à mettre en œuvre le procédé de contrôle selon l’une des revendications 1 à 7, dans un véhicule (V) comprenant un réseau de communication (RC) et une batterie cellulaire (BC) comportant au moins un capteur (CC), au moins un module de cellule(s) (MC) connecté à un contrôleur (CM) et un calculateur de batterie (CB) couplé auxdits réseau de communication (RC), capteur (CC) et contrôleur (CM) via des liaisons, pour contrôler des maintenances dans ledit calculateur de batterie (CB). Dispositif de contrôle (DC) pour un véhicule (V) comprenant un réseau de communication (RC) et une batterie cellulaire (BC) comportant au moins un capteur (CC), au moins un module de cellule(s) (MC) connecté à un contrôleur (CM) et un calculateur de batterie (CB) couplé auxdits réseau de communication (RC), capteur (CC) et contrôleur (CM) via des liaisons, caractérisé en ce qu’il comprend au moins un processeur (PR1) et au moins une mémoire (MD) agencés pour effectuer les opérations consistant, lorsqu’une maintenance dudit calculateur de batterie (CB) est requise, à autoriser cette maintenance si au moins l’une desdites liaisons, choisie, est déconnectée dudit calculateur de batterie (CB). Véhicule (V) comprenant un réseau de communication (RC) et une batterie cellulaire (BC) comportant au moins un capteur (CC), au moins un module de cellule(s) (MC) connecté à un contrôleur (CM) et un calculateur de batterie (CB) couplé auxdits réseau de communication (RC), capteur (CC) et contrôleur (CM) via des liaisons, caractérisé en ce qu’il comprend en outre un dispositif de contrôle (DC) selon la revendication 9.