FR 2460231 A1 19810123 FR 8006437 A 19800321 La présente invention se rapporte généralement à un système de commande comprenant un. système d'un calculateur ou micro-calculateur numérique, pouvant être monté sur un véhicule automobile afin de commander divers dispositifs du véhicule. Plus particulièrement, la présente invention se rapporte à un procédé et un moyen pour vérifier des éléments du système de commande, après assemblage de ce dernier. Comme le savent ceux qui sont compétents en la matière, ces dernières années, il est devenu assez populaire de commander automatiquement divers systèmes d'un véhicule en utilisant un système de commande contenant une unité d'un micro-calculateur. Le système de commande est employé dans un véhicule automobile pour commander automatiquement l'entraînement du moteur à combustion interne, le système d'allumage, le système de recirculation des gaz d'échappement, le système d'injection du carburant et ainsi de suite. Le système de commande peut de plus être utilisé pour commander divers indicateurs du véhicule comme, par exemple, un indicateur de navigation. Par ailleurs, le système de commande est également utilisé pour commander divers équipements du véhicule comme un dispositif d'accord automatique d'un radio-récepteur. Le système de commande comprend généralement une unité centrale de traitement (CPU), une unité d'entrée, une unité de sortie et une ou plusieurs unités de mémoire comprenant une mémoire morte (ROM) et une mémoire à accès aléatoire (RAM). Ces éléments forment un micro- calculateur pour le traitement de données qui y sont introduites afin d'appliquer des signaux de commande aux divers dispositifs du véhicule. Pour accomplir l'opération de commande, des programmes généralement mémorisés dans la mémoire ROM sont lus et exécutés dans l'unité CPU par rapport aux données d'entrée ou reçues à l'unité d'entrée. Le résultat de l'exécution du pro- gramme de commande est appliqué aux dispositifs du véhicule à commander par une unité de sortie. Afin de commander de façon satisfaisante les dispositifs du véhicule, il faut naturellement une fonction correcte et appropriée de chaque élément: l'unité d'entrée doit admettre des signaux d'entrée et lire avec précision des données identiques contenues dans les signaux d'entrée; la mémoire RAM doit être capable de mémoriser avec précision des données identiques à celles introduites et de lire les données stockées qui doivent être identiques aux données introduites; 1 la mémoire RAM doit être capable de maintenir la mémorisation telle qu'elle y est pré-établie et.de la lire telle qu'elle est; et pour l'unité de sortie, elle doit être capable de recevoir les données à la sortie de l'unité CPU et de les émettre telles qu'elles sont. Afin de vérifier le système de commande et d'empê- cher le véhicule de subir des troubles sérieux dus à une erreur du système de commande et à des accidents, la vérification des fonctions des éléments du système de commande est requise. Le circuit de commande du système de commande détermine un changement doe signaux de sortie en réponse à un signal reçu ou à un intervalle de temps écoulé. Cette fonction du système de commande est sensiblement la même que celle des systèmes de commande analogique traditionnels. Par conséquent, comme avec des circuits de commande analo- gique traditionnels, il est possible de vérifier les fonctions du circuit de commande en changeant les signaux reçus et en observant les changements des signaux de sortie en réponse aux changements à l'entrée, et en vérifiant si une certaine relation tient entre les obser- vations. Cependant, pour les raisons décrites ci-dessous, le temps requis pour une telle vérification est long, et il n'est pas possible de vérifier parfaitement toutes les fonctions. (1) Il est de pratique courante, dans un circuit de commande analogique traditionnel, de vérifier deux valeurs extrêmes d'une fonction et de supposer la conti- nuité de l'intervalle entre ces deux valeurs extrêmes. Par ailleurs, comme dans un système de commande utilisant un microcalculateur, on utilise des signaux binaires numériques, les signaux ne sont pas continus et n'ont pas de relation les uns avec les autres. Par conséquent, il est impossible de faire comme dans le cas analogique. On considère maintenant la relation entre la valeur de l'entrée x et la valeur de la sortie y aussi bien en cas numérique qu'analogique pour une simple fonction analogique y = O,5x+ 1,5. Dans le cas analogique, pour une si simple fonction, le procédé employant un amplifica- teur opérationnel pour donner un point zéro et un gain est largement utilisé. Dans ce cas, la sortie est vérifiée quand l'entrée est au minimum et la sortie est également vérifiée quand l'entrée est au maximum, comme relation est linéaire, dans le cas analogique les sorties pour toutes les autres valeurs d'entrée sont assurées. Si le circuit fonctionne mal, l'une ou l'autre des valeurs extrêmes sera fausse. Dans le cas numérique, on utilise largement une table de recherche pour obtenir une telle fonction. Dans ce procédé, les données de sortie corres- pondant aux valeurs d'entrée 0,1,2... sont mémorisées à l'avance, et selon la valeur d'entrée, la valeur de sortie correspondante est récupérée et émise. Dans ce cas, même si les données correspondant aux valeurs minimum et maximum de sortie sont correctes, les données correspondant à d'autres valeurs d'entrée ne sont pas assurées. Il est par conséquent nécessaire de vérifier les données pour toutes les valeurs d'entrée. Pour cette raison, bien que pour des circuits analogiques traditionnels il soit satis- faisant de vérifier deux valeurs, pour les circuits numériques le nombre de points de vérification doit être énormément accru. (2) Comme il est difficile d'observer l'état des signaux dans le circuit de commande, il n'est pas possible d'effectuer une vérification précise. Par exemple, dans le type du cas ci-dessus décrit o il y a une simple relation entre l'entrée et la sortie, en augmentant le nombre de points de vérification il est possible d'effectuer une vérification d'une façon, mais quand le calcul est utilisé en un point intermédiaire dans le circuit, une vérification est impossible. Dans le cas analogique, si des bornes tests sont prévues aux point d'entrée et de sortie du circuit, en mesurant les tensions à ces bornes, il est possible d'effectuer une vérification, mais dans le cas numérique comme un utilise une seule ligne pour indiquer de nombreux signaux différents par partage dans le temps, la fixation des bornes tests n'a pas d'utilisa- tion, et dans la pratique il n'est pas possible de détacher une seule section pour la vérifier. Ainsi, le fonctionne- ment interne détaillé du circuit de commande ne peut être examiné, et une vérification complète et précise n'est pas possible. Si le circuit est construit au moyen de techniques LSIil peut même ne pas être possible d'adapter des bornes de vérification. (3) Comme un circuit pour un dispositif de commande d'un véhicule automobile doit résister aux vibrations, il n'est pas possible de le construire en utilisant des douilles IC et ainsi de suite, pour monter les éléments du circuit. Une douille IC est un dispositif pour monter un circuit intégré sur une plaquette de circuit imprimé et ainsi en utilisant des douilles IC il est possible de retirer un circuit intégré de sa plaquette, très simplement. Ainsi, pour des dispositifs ne nécessitant aucune résis- tance aux vibrations, en utilisant des douilles IC, même après assemblage du dispositif, le circuit intégré peut être détaché et vérifié individuellement avec un équipement d'essai, mais pour des dispositifs de commande à utiliser dans un véhicule automobile, la résistance aux vibrations est extrêmement importante. Pour cette raison, des douilles IC qui permettent la possibilité d'un contact électrique non satisfaisant provoqué par des vibrations, ne peuvent être utilisées. Par conséquent, des procédés comportant l'examen séparé d'éléments du circuit après assemblage ne sont pas applicables. (4) Les circuits de commande à utiliser dans des véhicules automobiles nécessitent une certaine résistance à l'eau et à l'humidité, et par conséquent après assemblage, la surface du circuit est enfermée dans une membrane étanche à l'eau ou imperméable. Par conséquent, on ne peut utiliser des dispositifs de vérification tels que des analyseurs logiques. L'analyseur logique est un dispositif pour observer le mouvement de nombreux signaux numériques sur une barre bus de données et ainsi de suite, et il permet l'observation de l'état des données d'entrée et de sortie de l'unité CPU par exemple. Si l'on utilise un analyseur logique, le type d'opération de commande décrite en (2) ci-dessus peut être mesuré et observé à une certaine étendue, mais si la surface est couverte d'une membrane de protection imperméable en silicone ou résine époxy afin d'augmenter la résistance à l'eau et à l'humidité, un tel dispositif de vérification ne peut être relié et ainsi ne peut être utilisé. Pour les raisons ci-dessus décrites, pour un dispositif de commande pour un véhicule automobile qui accomplit une commande numérique à grande échelle en utili- sant, par exemple, un micro-calculateur, des essais après assemblage prennent longtemps, et par ailleurs on ne peut effectuer qu'une vérification peu satisfaisante. Alors, pour des raisons semblables, quand le dispositif a été remis à l'utilisateur, il n'est pas possible de vérifier si le circuit de commande effectue correctement les procédés réels utilisés dans l'application. Ainsi, il n'est pas possible de vérifier des défauts lorsque l'on effectue l'inspection ou l'entretien du véhicule. La présente invention a pour objet un dispositif de commande à utiliser dans un véhicule automobile qui, afin de surmonter les défauts ci-dessus décrits des dispo- sitifs traditionnels à utiliser dans un véhicule automobile, permet à un programme de vérification différent du programme normal de commande d'être relié à l'unité CPU de commande, en débutant le programme de vérification quand certaines conditions prédéterminées se produisent, ainsi le programme de commande vérifie automatiquement chaque fonction du circuit de commande et émet les résultait permettant ainsi aux fonctions d'être examinées simplement et en un temps court après assemblage du dispositif des commande. Par conséquent, la présente invention a pour objet un système de commande pour commander divers dispositifs d'un véhicule automobile ayant un moyen pour permettre de vérifier les fonctions de chaque élément du système même après assemblage de ce dernier. La présente invention a pour autre objet un moyen de vérification pouvant être relié au système de commande, ce moyen fonctionnant en réponse à une condition spécifique de conduite du véhicule. La présente invention a pour autre objet un système de commande pour unvéhicule automobile, pourvu d'une fonction de vérification d'une unité d'entrée. La présente invention a pour autre objet un système de commande d'un véhicule automobile pourvu d'une fonction de vérification d'une mémoire RAM. La présente invention a pour autre objet un système de commande pour un véhicule automobile pourvu d'une fonction de vérification d'une mémoire ROM. La présente invention a pour autre objet un système de commande pour un véhicule automobile pourvu d'une fonction de vérification d'une unité de sortie. La présente invention a pour autre objet un système de commande comportant un programme de commande ayant divers sous-routines ou sous- programmes pour vérifier l'unité d'entrée, la mémoire RAM, la mémoire ROM et l'unité de sortie sous forme de sous-routines d'inter- ruption. La présente invention a pour autre objet un procédé de vérification des fonctions de chaque élément du système de commande, ce procédé permettant de vérifier le système de commande effectivement et parfaitement. L'invention-sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparaîtront plus clairement au cours de la description explicative qui va suivre faite en référence aux dessins schématiques annexés donnés uniquement à titre d'exemple illustrant un mode de réalisation de l'invention - et dans lesquels: - la figure 1 donne un schéma-bloc de la construc- tion générale d'un système de commande pour un véhicule automobile, ayant un micro-calculateur auquel peut être appliqué un moyen pour vérifier les fonctions selon la présente invention; - la figure 2 est un diagramme de calcul d'un procédé d'exécution d'un programme de vérification à utiliser avec le moyen de vérification selon l'invention; - la figure 3 est un diagramme de calcul d'un autre procédé d'exécution d'un programme de vérification à utiliser avec le moyen de vérification selon l'invention; la figure 4 est un diagramme de calcul d'un autre procédé d'exécution d'un programme de vérification à utiliser avec le moyen de vérification selon l'invention; - la figure 5 est un diagramme de calcul d'un autre procédé d'exécution d'un programme de vérification à utiliser avec le moyen de vérification selon l'invention; - la figure 6 est un diagramme de calcul d'un exemple d'un programme de vérification de l'unité d'entrée à utiliser avec le moyen de vérification selon l'invention; - la figure 7 est un diagramme de calcul d'un exemple d'un programme de vérification d'une mémoire RAM à utiliser avec le moyen de vérification selon l'invention; la figure 8 est un diagramme de calcul d'une modification du programme de vérification de la mémoire RAM selon la figure 7; - la figure 9 est un diagramme de calcul d'une autre modification du programme de vérification de la mémoire RAM selon la figure 7; - la figure 10 est un diagramme de calcul d'un exemple de programme de vérification d'une mémoire ROM à utiliser avec le moyen de vérification selon l'invention; - la figure 11 est un diagramme de calcul d'un exemple d'un programme pour convertir la sortie en un train d'impulsions codées; - la figure 12 montre une forme d'onde d'un signal de sortie produit par le programme de la figure 11; la figure 13 est un diagramme de calcul d'une modification du programme de vérification de la mémoire ROM de la figure 10; - la figure 14 est un diagramme de calcul d'une autre modification du programme de vérification de la mémoire ROM de la figure 10; - la figure 15 est un diagramme de calcul d'un exemple d'un programme de vérification de l'unité de sortie à utiliser avec le moyen de vérification selon l'invention; - la figure 16 est une illustration schématique d'un exemple de connexion entre l'unité d'entrée et l'unité de sortie dans le cas o l'on utilise l'unité d'entrée pour l'introduction des données à lUnité de sortie pour l'exécution du programme de vérification de sortie de la figure 15; - la figure 17 est un diagramme de calcul d'un programme pour sélectivement émettre le résultat de la vérification; et - les figures 18 (A) et 18 (B) sont des diagrammes de calcul d'un exemple d'un programme de vérification ayant des sous-routines pour vérifier l'unité d'entrée, la mémoire ROM et la mémoire RAM sous forme de sous- routines d'interruption d'un programme de commande de dispositifs d'un véhicule, o la ligne de calcul entre les programmes ou routines de vérification des mémoires RAM et ROM est illustrée en commun pour préserver la continuité du diagramme de calcul entre les figures 18 (A) et 18 (B). En se référant maintenant aux dessins, et plus particulièrement à la figure 1, elle illustre une construc- tion générale d'un mode de réalisation préféré d'un système de commande employant un micro-calculateur qui comporte une unité centrale de traitement (CPU), une mémoire à accès aléatoire (RAM) et une ou plusieurs mémoires mortes (OM). Le système de commande est monté dans un véhicule automobile pour commander divers dispositifs du véhicule comme, par exemple, le fonctionnement du moteur, le système d'injection de carburant, le système d'allumage et ainsi de suite. Par ailleurs, le système de commande commande diverses sortes d'indicateurs prévus dans le véhicule et il commande également un équipement du véhicule tel qu'un radio récepteur et ainsi de suite. Pour accomplir l'opération de commande, divers signaux de capteus ou de détecteur sont admis par une unité d'entrée pour être traités dans l'unité CPU. Sur la figure 1, une unité d'entrée 10 comporte généralement un circuit d'élimination du bruit, un circuit de mise en forme comme, par exemple, un filtre de mise en forme d'onde, ou un convertisseur de niveau. Le circuit d'élimination du bruit peut comprendre, par exemple, un moyen pour vérifier un niveau de bruit contenu dans le signal reçu. Par exemple, un tel moyen pour vérifier un niveau du bruit du signal reçu peut comporter un discrimi- nateur o le signal reçu est comparé à un signal de réfé- rence produit par un moyen générateur de signaux prévu à l'extérieur du système. Quand le signal reçu contient un bruit pouvant éventuellement provoquer un mauvais fonction- nement du système de commande, le signal reçu n'est pas utilisé pour remettre au point un registre d'entrée d'o la donnée d'entrée est prise pour commander le moyen d'entraînement du véhicule ou autre équipement-de ce dernier. Une telle nécessité se produira fréquemment dans un signal de capteur d'un capteur d'allumage prévu dans un système d'allumage, par exemple, et le circuit d'élimination du bruit, le circuit de mise en forme et le convertisseur de niveau seront employés dans l'unité d'entrée 10 selon cette aeTOm9m eunp sasseape sep 1 saSTJmo9m %e g.TiO % uos no OQ egSlue,p 9-TUn,l suBp nA9ad egaqueap aegsT2ea un suep SgsTaom9m siole quos *'1' 'Zl '14 snlSe xneuTS se S se ITrnb le% eueATns adBele, I gnbTIdde eaes naoe IBu2TS el 'seo eo suega '(nealenoleo-oJoTm) enbTigmnu Inoleo ep amqsXs ne eTlquoTdde %uemaeoaeTp enbTagmnu 9poo TeuSTs unp aemuoj snos sTape sTojenbtenb %se nbea teu2Ts eT enb Bzeou uo O enbTgumnu - enbTSoleue lnessTlaeAuoo un,p ue&om ne T4aeAuoo %se IT 'enbT2oleue uu2Ts un %se nbea iuuTs ael puenb epoo-uoTsTndmT inessTIeauoo un,p ueXom ne TljeAuoo %sea leu2Ts el 'segpoo 5Z suoTsIndmT teu2Ts un %sa nbeJ leu2Ts el puenb lanbTigmnu epoo ue uoTsTndmTT aT;a%&uOO inod eoueapjga ep suoTsIndmT sep l que.9a59 es ue eapnsem %se uoTsTndmT,p anenguol eun no eoueapjga ep sdme% un % aueaq$a es ue e9admoo %se suoTsIndmT sep eouenbgaj el OZ TleuuoTtndmT Teuuts un se nSea TeuTs eT.lpuenb 0 O qei qe. eI qoum no 'o Tços jeAno %.e I %Tos 9w.ze enb uoôeB ap enbTragmnu teu2Ts un ue TI.JAuoo %se IBtuTs eT 't e-eo4em eno e.aAno-9wE.zj no uaTi no no% jed leu2Ts un.se nea etuSuTs el puenb S : ueSATns Tnb suobe; xne senbTa9wnu xneuSTs ue sppoo ea sTae.Auoo %uos *' 1 'Zl '4l xneuUTs set '0I aeiue,p 9%,Tun,l q uoTonpoaquT %ueAy uoTesTU -oaqoU&s Sp lteuTs un oea eamsTuooqtouL ue %TnpoiluT %se nbe Teu2iTS enbeqo ' sgsTtTITn %uos xneiuS SjeATp puenm OQ senbTJimnu xneu2Ts ue xnmtu2Ts ap sepom saeATp selt aT eAuoo anod sJnessTe.auoo s5eATp sn9.id %uoias O aegzueip 91pun,t T % xnmuTs Sp seoJnos selt eaua *'senbT2otete xneuuTs sap %ae sleuuoTsIndmT xnBuSTs sep 'ue-ç no %no. jad xnmU2Ts sep emoo ' seLoj sesaeATP Sp %uos snSle xneu2Ts sel enb Beleou uo sTnbea.sa Tnb eo uoIes sTaeAuoo uos xneeATu se le eu.oJ ue sesm 4uos seapuo set 'guTmT1P j.se nue4uoo %se Tnb %Tnq el ae 01 agalue,p 9Tuntl sTpBe UOs ú 'Zl '1I snleS xneugTs sel '9%Tsseopu 01O RAM 20 par une barre bus de données 80. L'adresse dans la mémoire 20 est choisie ou déterminée par un signal d'adresse mémorisé dans un registre de repérage d'une unité centrale de traitement (CPU) 50 et appliquées la mémoire 20 par une barre bus d'adresses70. Le signal reçu est écrit dans le registre d'entrée ou dans la mémoire RAM à des adresses spécifiques déterminées par le signal d'adresse, au moyen d'un signal de synchronisation produit par un générateur de signaux d'horloge prévu à l'extérieur du système de commande. La donnée reçue écrite et mémorisée dans la mémoire 20 est lue et appliquée à l'unité 50 pour accomplir l'opération de commande selon un programme de commande par rapport à la donnée qui y est contenue. Le programme de commande est mémorisé dans une mémoire ROM 30 et en est lu en effectuant l'opération de commande de l'unité 50. Un résultat de l'opération du programme de commande de l'unité est appliqué à une unité de sortie 40. L'unité de sortie 40 peut comporter un registre de sortie pour mémo- riser une donnée de sortie, si nécessaire. Comme la donnée de sortie est appliquée à l'unité de sortie 40 sous forme d'un code numérique, l'unité 40 convertit la donnée en signaux tout ou rien, signaux impulsionnels, signaux analogiques ou signaux à impulsions codées selon le type de dispositif de commande que le signal de sortie doit attaquer. La donnée de sortie est alors amplifiée pour produire des signaux de sortie 51, 52, 53. Chaque signal de sortie 51, 52, 53 est alors transmis à un dispositif de mise en action d'un dispositif de commande d'un dispositif à contrôler ou à un indicateur. Un circuit d'oscillations à haute fréquence 60 (horloge) comme un oscillateur à quartz, produit un signal de base; soit ce signal ou bien un signal dont la fréquence est un sous-multiple du signal de base est utilisé comme signal d'horloge à introduire, par une barre bus de commande 90 aux circuits ci-dessus mentionnés, par exemple l'unité 50 pour la commander. Bien que cela ne soit pas représenté sur les dessins, la barre bus 90 est également reliée à un générateur de signaux de lecture/ écriture. Bien que les micro-calculateurs récemment développés soient généralement construits comme ci-dessus, Il y a divers composants d'éléments qui s'y trouvent. Par exemple, on peut trouver un élément contenant l'unité CPU, la mémoire RAM et l'oscillateur OSC sous forme d'une unité combinée, et on peut de plus trouver un autre élément comprenant une mémoire ROM et une partie des unités d'entrée et de sortie en plus de l'unité combinée ci-dessus de CPU, RAM et OSC. Par ailleurs, les éléments combinés peuvent être modifiés en nombre ou certains éléments, par exemple, s'ils sont inutiles, comme l'unité d'entrée ou la mémoire RAM peuvent être omis du système. Par conséquent, on notera que la présente invention peut s'appliquer à diverses constructions du système de commande et que bien que des constructions spécifiques du micro-calculateur aient été révélées ci-dessus, la présente invention ne doit pas être considérée comme limitant la construction spécifique dusystème de commande. Le système de commande ci-dessus mentionné s'appliquera également à la commande de divers équipements du véhicule montés dans un véhicule automobile; par exemple, un moteur à combustion interne, la transmission, le système de freinage, la radio ou des indicateurs. Par ailleurs, le système de commande peut s'appliquer à la commande d'opérationsd'un système d'allu- mage, d'un système d'injection de carburant, par exemple, en réponse aux conditions de conduite. La mémoire ROM 30 contient un programme pour l'opération de commande de l'unité 50 qui est mémorisé dans l'emplacement de mémorisation de données de commande (ROM1 = 31) et un programme de vérification pour vérifier des éléments du système de commande qui est mémorisé dans l'emplacement de mémorisation de données de vérification (ROM2 = 32). Les emplacements 31 et 32 peuvent être en une position soit combinés sous forme d'un composant ou séparés en deux zones, La figure 1 montre un système de commande comportant un micro-calculateur. Sur la figure 1, la mémoire ROM 30 se compose de deux parties ROM1 31 et ROM2 32. La mémoire 32 est représentée en pointillé pour indiquer qu'elle peut être séparée du système de commande. Par exemple, tout ou partie du programme de vérification et des données de vérification peuvent être mémorisés dans une unité formant mémoire prévue à l'extérieur du système et reliée au moyen d'une douille de circuit imprimé ou d'un connecteur relié amovible au système en général. Par exemple, la douille ou connecteur peut être reliée à une mémoire ROM extérieure prévue à l'extérieur du système. Dans de tels cas, la barre bus de données, la barre bus d'adresses et la barre bus de commande sont prévues pour une liaison de la douille ou connecteur à l'unité CPU afin d'appliquer les données mémorisées dans la mémoire ROM externe à l'unité 50. Le système de commande selon l'invention peut être représenté selon l'une des formes ci-dessus mentionnées. Si la mémoire ROM 30 composée de ROM1 31 et de ROM2 32 est incorporée dans le Esyt medumicro-calculateur, cela offre le bénéfice que l'opération de vérification peut être effectuée en tout endroit et en tout moment en même temps que s'effectue le programme de commande. Par conséquent, il est inutile de décider si le programme de vérification doit être effectué. Par ailleurs, si la mémoire 30 est prévue séparément du système de commande, on peut s'attendre à l'avantage que, comme dans ce cas la mémoire 32 n'est pas requise dans le système, le prix de fabrication soit réduit. Les programmes de vérification sont exécutés à l'unité 50 quand le système de commande est à un état prédéterminé. On expliquera maintenant certains exemples de diagrammes de calcul en se référant aux figures 2 à 5. Sur la figure 2, le programme de vérification est exécuté immédiatement après commutation du démarreur et avant exécution du programme de commande dans la séquence du système de commande. Comme on peut le voir sur la figure 3 l'ordre d'exécution du programme de vérification et du programme de commande peut être modifié par rapport à celui représenté sur la figure 2. Sur la figure 4, le programme de vérification et le programme de commande sont dans la même boucle. Par conséquent, dans ce cas, les deux program- mes sont exécutés alternativement. Dans les trois exemples ci-dessus mentionnés, quand le programme de commande est exécuté, le programme de vérification est toujours exécuté avant ou après exécution du programme de commande. Dans ces cas, il n'est pas nécessaire de déterminer si le programme de vérification est exécuté avant ou après la programme de commande, car le programme de vérification est exécuté automatiquement afin de simplifier le fonction- nement du système de commande. Il est également possible de prévoir que le programme de vérification soit exécuté quand les signaux de commande reçus sont placés à un état particulier. En termes plus concrets, comme cela est représenté par le schéma de la figure 5, en un point intermédiaire dans le programme de commande, un programme est exécuté pour lire l'état des signaux reçus et pour vérifier si lés signaux reçus sont à cet état particulier. Si les signaux sont à cet état particulier, alors le programme de vérification est exécuté, autrement ce programme est sauté et le programme de commande est de nouveau exécuté. Comme état particulier, il est préférable d'utiliser un temps o les objets commandés ne fonctionnent pas. Par exemple, dans un dispositif decommande d'un moteur, le contenu mis en cause dans la commande quand le moteur est stationnaire est extrêmement faib2 et par conséquent le temps d'exécution requis pour le programme de commande est court. Par conséquent, même si le programme de vérification est exécuté, la réponse de l'autre commande n'est pas retardée>ce qui est souhaitable. De même, si les résultats de la vérification sont émis, même s'ils sont émis en même temps que la sortie de commande, alors si le moteur est stationnaire, on est assuré d'une sortie sans problème, par exemple de signaux de commande d'allumage>et le nombre de circuits de sortie peut être réduit. De nouveau également, pour des raisons semblables, il est possible de prévoir la détection que le véhicule est stationnaire puis d'exécu- ter le programme de vérification. Dans ces cas, il sera satisfaisant de prendre, pour l'entrée, la période ou la fréquence des impulsions d'un capteur déterminant la vitesse de rotation du moteur ou la vitesse du véhicule, par exemple une impulsion captant la rotation, et de vérifier si la vitesse de rotation du moteur ou la vitesse du véhicule est nulle ou non (ou extrêmement proche de zéro). Dans ce cas de nouveau il est possible de prendre un état ne pouvant se produire dans la gamme normale de fonctionnement de commande comme état particulier. Par exemple, la gamme des vitesses du moteur dans un moteur réciproque normal atteint environ 6000 t/mn. Par conséquent, par exemple, le programme de vérification peut être exécuté quand la vitesse du moteur est de 9000 t/mn ou plus. Dans ce cas, le programme de vérification ne sera pas exécuté dans la gamme de l'utilisation normale. Si la vérification est exécutée comme on le décrira ci-après, la donnée de vérification peut être appliquée au circuit de sortie et l'état de sortie être changé, ou la donnée mémorisée dans la mémoire RAM peut être réécrite, ainsi il y a des cas o il est difficile de continuer une commande normale. Dans ces cas, il vaudrait mieux ne pas effectuer de vérification pendant une commande normale. Quand des vérifications doivent être effectuées sur le circuit de commande, les entrées et sorties opérationnelles sont détachées du circuit de commande, et les signaux reçus dans des buts de vérifi- cation, dans l'exemple ci-dessus un signal impulsionnel correspondant à la vitesse du moteur, seront introduits par un dispositif électrique séparé dans des buts de vérifi- cation. Il est plus direct de produire électriquement un signal impulsionnel à haute fréquence afin que la vérifica- tion puisse être exécutée de façon simple. Il est également avantageux, pour l'état particulier, d'introduire deux états qui ne peuvent pas se produire en même temps, comme deux vitesses du véhicule, une haute et une basse température, ou par exemple des signaux indiquant que la position de la vitesse est à la fois en positiorssupérieure et neutre. En se référant maintenant à la figure 6, elle illustre généralement et explique l'exécution des programmes de vérification pour vérifier l'unité d'entrée 10 de la figure 1. La figure 6 montre un diagramme de calcul pour exécuter le programme de vérification de l'unité 10. On notera que, bien que cela ne soit pas clairement représenté, un signal d'entrée à traiter pendant l'exécution du programme de vérification est introduit par un moyen générateur de signaux de vérification qui est prévu à l'extérieur du système de commande selon l'invention. La vérification du signal reçu ou d'entrée est établie à une donnée d'entrée temporairement mémorisée à une adresse dans le registre d'entrée, par exemple à l'adresse 1100. Les signaux reçus sont produits et appliqués par le moyen générateur de signaux de vérification dans un ordre adapté à l'ordre des données d'entrée mémorisées dans le registre d'entrée. Après mise en marche du programme de vérification, dans une première étape de traitement 102, la valeur N1 d'un compteur est remise à 0. Comme on le comprendra sur les dessins, on révelera ci-après un exemple o dix données d'entrée sont introduites et mémorisées dans le registre d'entrée dans l'unité d'entrée 10. Le tableau I montre la relation entre les valeurs Di de la donnée reçue mémorisée dans le registre d'adresses A1, les valeurs D2 de données d'adresse mémorisées dans les adresses 1000 à 1009 de la mémoire ROM et les valeurs des données de référence D3 mémorisées dans les adresses 1100 à 1109 de la mémoire ROM, à titre d'exemple. TABLEAU I Compteur Signal reçu Adresse Adresse NO A1 D1 ROM D2 ROM D3 - - ____ _ 0 1 10 30 1000 10 1100 30 1 2 12 55 1001 12 1101 55 2 3 14 10 1002 14 1102 10 3 4 15 15 1003 15 1103 15 4 5 16 43 1004 16 1104 43 6 18 54 1005 18 1105 54 6 7 20 10 1006 20 1106 10 7 8 24 15 1007 24 1107 25 8 9 26 60 1008 26 1108 60 9 10 28 77 1009 28 1109 77 Comme on peut le voir sur le Tableau It chaque signal reçu I à 10 est mémorisé à l'adresse A1 (10,12...28) du registre d'entrée ou RAM. Chaque valeur de donnée reçue D1 contenue dans chaque signal reçu ou d'entrée I à 10 est représentée au tableau I. Au tableau I, les valeurs de donnéesreçues D1 sont 30, 55...77. Aux adresses 1000 à 1009 de la mémoire ROM sont mémorisées les valeurs d'adresse D2 (10, 12...28); aux adresses 1100 à 1109 de la mémoire ROM sont mémorisées les valeurs des données de référence D3 (30, 55...77) à comparer aux valeurs D1 lors de l'exécution du programme de vérification. A l'étape suivante de traitement 104, la valeur d'adresse D2 (= 10) mémorisée à l'adresse 1000 + N1 ( = 1000) est lue. Alors, la donnée reçue D1 ( = 30) mémorisée à l'adresse A1 ( = 10) du registre d'entrée ou de la mémoire RAM correspondant à la donnée d'adresse lue D2 est lue. Par conséquent, la donnée de référence D3 ( = 30) est mémorisée à l'adresse 1100 + N1 ( = 1100) et est lue à l'étape de traitement 106. La donnée reçue D1 et la donnée de référence D3 sont comparées l'une à l'autre à l'étape de décision 108 pour décider si la donnée reçue D1 lue à l'adresse A1 du registre d'entrée ou ou de la RAM correspond à la donnée de référence corres- pondante D3. Si la donnée reçue D1 correspond à la donnée de référence D3, le programme de vérification passe à l'étape suivante 110 o le numéro de compte N1 du compteur est comparé au numéro de la dernière donnée reçue ( = 9). En d'autres termes, à l'étape 110, on vérifie si le programme de vérification précédent a été totalement exécuté et s'est répété pour vérifier l'unité d'entrée par rapport à toutes les valeurs de données reçues D1, par la comparaison du nombre N1 au nombre de la dernière donnée reçue 9. A l'exemple représenté sur le tableau I, les étapes en séquence 102, 104, 106, 108 et 110 du programme de vérification sont exécutées de façon répétée jusqu'à ce que le nombre N1 du compteur soit 9. Quand le nombre N1 est inférieur à 9, le programme de vérification retourne à l'étape 102. A ce moment, le compteur est incrémenté à N1 + 1 à l'étape 112. En effet, après vérification de l'unité par rapport à la première donnée reçue D1, et confirmation que la donnée reçue et lue D1 correspond à la donnée de référence D3, le nombre N1 est incrémenté de 1 pour répéter le programme de vérification de la séquence des étapes 102 à 110. Le résultat de l'opération de vérification pour l'unité d'entrée est extrait, quand toutes les valeurs des données d'entrée D1 lues dans le registre d'entrée de la mémoire RAM à l'étape de traitement 102 correspondent aux valeurs des données de référence D3 mémorisées dans la mémoire ROM et lues à l'étape 106. A ce moment, quand le nombre N1 du compteur atteint 9 et par conséquent détermine que toutes les valeurs des données reçues ont été comparées aux données de référence D3 correspondantes et qu'elles correspondent, le programme de vérification passe à l'étape 114 o le signal de sortie indiquant que l'unité d'entrée fonctionne de façon correcte (ci-après signal OK) est produit et émis. Par ailleurs, quand une valeur de donnée D1 ne correspond pas à la valeur de donnée de référence D3, ce qui est représenté à la septième ligne du tableau I o la donnée reçue D1 (15) mémorisée à l'adresse A1 (24) du registre d'entrée ou RAM et la donnée de référence corres- pondante D3 (25) ne correspondent apparemment pas, la différence de la donnée reçue D1 et de la donnée de réfé- rence D3 provoque une décision à l'étape 108 pour passer à l'étape 116. Quand le programme de vérification passe à l'étape 116, un signal de sortie indiquant que l'unité d'entrée fonctionne mal ou est dans l'erreur (ci-après signal NG) est produit et émis. Comme cela est apparent à la lecture de la descrip- tion qui précède, selon le mode de réalisation préféré de l'invention, la donnée de référence D3 appelée donnée de vérification pour exécuter le programme de vérification est mémorisée dans une mémoire ROM. La donnée reçue ou d'entrée pour exécuter le programme de vérification est comparée à la donnée de référence DY. Dans le but de vérifier l'unité d'entrée, la donnée d'entrée est agencée pour être établie à la valeur de la donnée de référence D3. Par conséquent, si chaque circuit de l'unité d'entrée fonctionne correctement, la donnée d'entrée de vérification D1 qui est mémorisée à une adresse A1 du registre d'entrée ou de la mémoire RAM et qui en est lue correspondra à la donnée de référence correspondante D3 mémorisée à l'adresse correspondante de la mémoire ROM et qui en est lue. Comme une différence entre les données Di et D3 signifie que l'un des circuits ou certains des circuits de l'unité d'entrée fonctionnent mal et/ou que l'un ou certains des circuits sont endommagés, la vérification peut être effectuée en comparant la donnée D1 et la donnée D. Selon le programme de vérification révélé ci-dessus, si la différence entre les données est détectée pendant l'exécution du programme de vérification, le signal NG est produit et émis par lUnité de sortie. On notera que si la donnée d'entrée est contenue dans le signal reçu ou d'entrée qui a la forme d'un signal analogique ou d'un signal impulsionnel, la donnée d'entrée peut présenter certaines erreurs ou aberrations dues à une différence de cadence de mesure ou autres raisons connues. Cependant, une telle différence entre la donnée reçue et la donnée de référence sera souvent dans une gamme o la différence peut ne pas affecter ou ne pas affecter suffisamment considérablement pour rendre le fonctionnement du système de commandepour la conduite du véhicule ou pour commander d'autres équipements du véhicule, impossible. Par conséquent, dans un tel cas, il faut décider si l'unité d'entrée fonctionne mal ou si elle est endomma- gée en détectant si la différence entre la valeur D1 et la valeur D3 dépasse une gamme permissible. On peut connaître diverses façon pour vérifier si la différence entre les valeurs de la donnée reçue et de la donnée de référence est dans la gamme permissible. Cependant, dans la présente invention, il y a un mode préféré de vérification consistant soit à incorporer dans le programme de vérification l'étape de discrimination d'une gamme permissible se trouvant à une distance A de la donnée de référence ou à prévoir deux données différentes de référence dont une définit la limite supérieure de la gamme permissible et dont l'autre définit sa limite inférieure. Dans cette dernière méthode de vérification, la donnée reçue sera comparée aux deux données de référence et on vérifiera si la donnée reçue est inférieure ou supérieure à la limite inférieure ou supérieure de la gamme permissible. Bien que dans l'exemple qui précède soit montré un procédé ou schéma de calcul pour vérifier l'unité d'entrée en vérifiant le signal reçu mémorisé et lu du registre d'entrée de l'unité d'entrée et en se référant à une valeur de donnée de référence mémorisée lue d'une adresse de la mémoire RAM, les deux valeurs de donnée pouvant être mémorisées à une seule adresse, la donnée d'entrée ne peut pas toujours être mémorisée à une seule adresse. La donnée d'entrée est quelquefois mémorisée à deux adresses ou plus du registre d'entrée ou de la mémoire ROM. Dans un tel cas, la donnée d'entrée peut représenter 2 octets ou plus de donnée. Le mot octet est utilisé dans la présente description pour indiquer huit chiffres binaires (ou bits) de la donnée. En considérant la vérification de telles valeurs de donnée, théoriquement ou logiquement deux cent cinquante six (28) valeurs de donnée différentes peuvent être contenues dans chaque donnée en octet. Par conséquent, si une vérification est faite par rapport à toutes les différentes valeurs de donnée, cela force le programme de vérification à être exécuté pendant une période considérablement longue. Si une seule des différentes valeurs de donnée est vérifiée, cela peut éventuellement empêcher de voir des dégâts de l'unité d'entrée du fait d'une correspondance occasionnelle de la donnée reçue et de la donnée de référence uniquement due au hasard. Par conséquent, pour réduire la période de vérification et pour éviter selon toutes probabilités, de ne pas voir des dégâts dans l'unité d'entrée, au moins deux valeurs de donnée d'entrée doivent être vérifiées pendant l'exécution du programme de vérification; dans la pratique, on vérifiera deux valeurs de donnée d'entrée ou plus. Il est également possible de prévoir que le programme de vérification soit exécuté quand les signaux à l'entrée de commande sont à un état particulier. En termes concrets, comme cela est représenté par le schéma de calcul de la figure 5, en un point intermédiaire du programme de commande, un programme est exécuté pour lire l'état des signaux reçus puis vérifier si ces signaux sont à l'état particulier. Si les signaux sont à l'état par- ticulier, alors le programme de vérification est exécuté, autrement il est sauté et le programme de commande est de nouveau exécuté. Comme état particulier, il est préférable d'utiliser un moment o les objets soumis à la commande ne fonctionnent pas. Par exemple, dans un dispositif de commande d'un moteur, le contenu mis en cause dans la commande quand le moteur est stationnaire est extrêmement faible, et par conséquent le temps d'exécution requis pour exécuter le programme de commande est court. Par conséquent, même si le programme de vérification est exécuté, la réponse de l'autre commande n'est pas retardée, ce qui est souhaitable. De même, quand les résultats de la vérification sont émis, même s'ils sont émis en même temps que la sortie de commande, si le moteur est stationnaire, on est assuré d'une sortie sans programme, par exemple, des signaux de commande d'allumage et le nombre de circuits de sortie peut être réduit. De même, pour des raisons semblables, il est possible de prévoir la détection que le véhicule est stationnaire puis d'exécuter le programme de vérification. Dans ces cas, il sera satisfaisant de prendre, pour l'entrée, la période ou la fréquence des impulsions d'un capteur déterminant la vitesse de rotation du moteur ou la vitesse du véhicule, par exemple une impulsion de captation de rotation, et de vérifier si la vitesse de rotation du moteur ou la vitesse du véhicule est nulle (ou extrêmement proche de zéro) ou non. - Dans ce cas également, il est possible de prendre un état ne pouvant se produire dans la gamme normale de fonctionnement de commande comme état particulier. Par exemple, la gamme des vitesses du moteur dans un moteur réciproque normal atteint environ 6000 t/mn. Par conséquent, par exemple, le programme de vérification peut être exécuté avec une vitesse du moteur de 9000 t/mn ou plus. Dans ce cas, le programme de vérification ne sera pas exécuté dans la gamme de l'utilisation normale. Quand la vérification est effectuée comme on l'a décrit ci-dessus, la donnée de vérification peut être émise au circuit de sortie et l'état de sortie être changé, ou la donnée mémorisée dans la mémoire RAM peut être réécrite, ainsi il y a des cas o il est difficILe de continuer une commande normale. Dans ces cas, il vaut mieux ne pas effectuer de vérification pendant une commande normale. Quand des vérifications doivent être effectuées sur le circuit de commande, les entrées et sorties opérationnelles sont détachées du circuit de commande et les signaux reçus dans les buts de vérification, dans l'exemple ci-dessus un signal impulsionnel correspondant à la vitesse du moteur, sont introduits par un dispositif électrique séparé dans des buts de vérification. Il est plus direct de produire électriquement un signal impulsionnel à haute fréquence afin que la vérification-puisse être exécutée de façon simple. Il est également avantageux, pour l'état particulier, d'introduire deux états ne pouvant absolument pas se produire en même temps, comme deux vitesses du véhicule, une haute et une basse température, ou par exemple des signaux indiquant que la position des vitesses est à la fois en positions supérieure et neutre. En se référant maintenant aux figures 7 à 9, elles montrent l'opération pour vérifier la mémoire RAM. Avant d'expliquer le mode de réalisation préféré de la présente invention pour vérifier la mémoire RAM, bien que cela puisse être bien connu de ceux qui sont compétents en la matière, on illustrera ci-après la fonction générale de la mémoire RAM. La fonction la plus importante d'une mémoire RAM est d'écrire et de lire une valeur particulière. Par conséquent, une bonne méthode pour accomplir une vérification de base sur une mémoire RAM consiste à écrire et à mémoriser une valeur d'une donnée particulière puis à lire la donnée et à vérifier si la valeur lue est la même que la valeur écrite. Cette méthode sera expliquée plus concrètement en utilisant la figure 8. La figure 8 est tracée en termes d'un système d'un micro-calculateur (comme Motorola MC6802) utilisant une RAM à 8 x 128 bits, avec des adresses de 0 à 127, mais le même-procédé peut être effectué avec des modifications mineures pour diffé- rents nombres de bits, nombre d'octets et d'adresses. La figure 7 est un schéma de calcul d'un programme pour vérifier la mémoire RAM. Dans le programme de vérification de la mémoire RAM, d'abord dans le bloc 202, la valeur de donnée N2 représen- tant l'adresse dans la RAM est établie à 0. Ensuite, au bloc 204 une valeur de donnée particulière D4 est écrite à l'adresse N2 ( = 0); Ensuite, au bloc 206, la donnée D est lue à l'adresse N2 afin d'être comparée à la donnée introduite D4 pour décider si les deux valeurs D5 et D4 correspondent,à l'étape 208. Si les données D5 et D4 correspondent, la donnée d'adresse N2 est comparée au dernier numéro d'adresse ( = 127) de la mémoire RAM à une étape 210. Si le résultat de la comparaison de la donnée d'adresse N2 et du dernier numéro d'adresse (= 127) détermine que la donnée N2 est inférieure à 127, le programme de vérification retourne à l'étape de traitement 204. A ce moment, la donnée d'adresse N2 est augmentée d'un incrément dans l'étape 212 à l'adresse N2 + 1 pour lire la donnée mémorisée D5 à l'adresse N2 + 1 ( = 1) de la mémoire RAM à l'étape 204. La donnée mémorisée D5 lue à l'adresse N2 + 1 est comparée à la donnée reçue D4 et on décide si ellescorrespondent. Comme on l'a mentionné ci-dessus, le programme de vérification est exécuté de façon répétée jusqu'à ce que le résultat de la comparaison de la donnée d'adresse N2 et du dernier numéro d'adresse 127 soit déterminé comme étant correspondants; en effet, dans l'exemple ci-dessus, le programme est répété 128 fois et jusqu'à ce que la valeur de la donnée d'adresse soit 127. Quand une décision que la donnée d'adresse N2 corres- pond au dernier numéro d'adresse 127 est prise, alors un signal OK est produit dans une étape de traitement 214 et émis par l'unité de sortie. Si une partie de la donnée mémorisée D5 est différente de la donnée reçue correspon- dante D4, on décide que la mémoire RAM fonctionne de façon non correcte. A ce moment, un signal NG est produit à une étape de traitement 216 et il est émis. Comme on l'a mentionné ci-dessus, on peut vérifier si la mémoire RAM fonctionne correctement en utilisant le moyen de vérification du mode de réalisation préféré selon l'invention, o le programme de vérification cidessus décrit est mémorisé aux adresses spécifiques de la mémoire ROM2 32 de la figure 1. On comprendra qu'au début de la vérification et avant exécution du programme de vérifica- tion, le programme est lu de la mémoire ROM2 32. Par ailleurs, il faut noter que, cependant, dans l'exemple ci-dessus mentionné, la donnée d'adresse N2 est vidée ou remise à zéro au début de l'étape 202 si les valeurs des données à vérifier sont mémorisées à différentes adresses; par exemple, les valeurs des données sont mémorisées dans la mémoire RAM aux adresses de 15 à 120, le premier numéro d'adresse est écrit sous forme de donnée d'adresse N1 à l'étape 202 après remise à zéro de la donnée N2 précédemment contenue. S'il y a des valeurs de données supplémentaires mémorisées à des adresses différentes et peut-être à un grand nombre d'adresses, la vérification peut être accomplie en répétant le programme ci-dessus mentionné et en débutant la vérification de la première adresse du groupe. Tandis qu'il est possible, pour vérifier la mémoire RAM, d'exécuter le programme de vérification ci-dessus expliqué pour vérifier les données pour toutes les combinai- sons possibles, comme toutes les valeurs de données à introduire et à mémoriser sont des nombres binaires composés uniquement de bit 1 ou 0, il sera suffisant, pour vérifier la mémoire RAMde vérifier si chaque bit de la mémoire peut être écrit 1 et 0 et être lu tel qu'il est, exactement. Par conséquent, dans la pratique, le programme de vérifica- tion sera exécuté pour vérifier la mémoire RAM par rapport à une première et une seconde valeurs de données. La seconde valeur de donnée peut être le complément de la première. Comme les deux données sont des combinaisons de 1 et 0, la vérification par rapport aux première et seconde valeurs de donnéespeut couvrir toutes les combinaisons possibles des données et par conséquent est suffisante pour vérifier la mémoire RAM. Avec ce mode de vérification, la durée d'exécution du programme de vérification peut être considé- rablement écourtée, et le volume du programme de vérifica- tion peut être réduit pour diminuer la capacité de la mémoire ROM2 32. Il y a de nombreuses façons dont des erreurs peuvent se produire dans le circuit d'entrée, mais les plus courantes se produisent dans les cas qui suivent: court-circuit entre des conducteurs adjacents, rupture d'un conducteur, ou bit particulier dans un registre restant à 0 ou 1. Dans le cas du court-circuit, des bits adjacents dans un registre ont les mêmes valeurs tout le temps (appelé court-circuit horizontal). Dans les deux derniers cas, la valeur d'un bit particulier dans un registre ne change jamais. v Pour détecter le défaut provoqué par le cas du court-circuit horizontal ci-dessus mentionné, la donnée peut être introduite dans un registre selon un motif de 1 et 0 binaires répétés, afin que des bits adjacents n'aient pas la même valeur. En d'autres termes, si cela est fait, alors deux bits adjacents ayant la même valeur indiquent un court-circuit. Pour vérifier les autres cas,on.érifie d'abord par un groupe-de données puis on revériLe par de nouvelles données o chaque bit est inversé de 0 à 1 et inversement, par rapport au premier groupe de données, en vérifiant que l'opération est correcte avec les deux groupes de données. Pour effectuer ces deux essais en même temps, une première vérification peut être faite avec une entrée o la première donnée standard est 01010101 et une seconde vérification à un état d'entrée o la seconde donnée standard est 10101010. Si le nombre de signaux reçus est important, si la donnée (D2) indiquant l'adresse de l'entrée et la donnée standard (D3) sont séparées pour chacun des signaux reçus, la quantité de données est très importante et la dimension du programme est accrue. Dans de tels cas, si les adresses des données des signaux reçus sont agencées pour être consécutives, les première et dernière adresses des données peuvent être mémorisées et la vérification peut être effectuée en augmentant par incrémenté progressivement les adresses pour toutes les données jusqu'à la dernière adresse. Si cela est effectué, cela diminue la quantité de données (D2) indiquant des adresses et la mémoire ROM pour le programme de vérification peut avantageusement être rendue plus petite. Par ailleurs, si la donnée standard utilise les deux motifs décrits ci-dessus (c'est-à-dire 01010101 et 10101010) on obtient non seulement le bénéfice ci-dessus décrit de l'utilisation de ces motifs, mais cela permet également de diminuer la dimension de la mémoire ROM. Dans des cas o des articles de données d'un octet et des articles de données de deux ou trois octets sont mélangés, la dimension de la mémoire ROM peut être diminuée si, au lieu d'attacher à chaque article de donnée une donnée déterminant le nombre d'octEts dans cet article particulier, on rassemble consécutivement tous les articles de données ayant le même nombre d'octets et on détermine le nombre d'octets par article de la première et de la dernière adresses de la donnée. Quand les adresses du registre sont consécutives, et quand les registres sont physiquement adjacents, il y a possibilité d'un court-circuit entre les registres. Dans ce cas, les mêmes bits de registres adjacents peuvent être mis en court-circuit (ce qui est appelé court-circuit vertical), ou des bits adjacents dans des registres adjacents peuvent être mis en court-circuit (appelé court- circuit en diagonale). Ces types de courts-cixmuits ne se produisent que très rarement, mais dansdes cas o il faut un niveau extrêmement élevé de fiabilité, il est souhaitable d'ajouter des processus de vérification. Dans la pratique, cela peut être fait comme suit. D'abord, vérifier la première adresse (en supposant que l'adresse est paire) ayant la première valeur de donnée 00000000 (choisir un état d'entrée tel que la donnée d'entrée prenne naturellement une telle valeur) . Vérifier l'adresse suivante (adresse impaire) ayant la seconde valeur de donnée 11111111. De là,alterner les première et seconde valeurs de données dans les adresses paires et impaires. Quand cela est effectué, en direction verticale (c'est-à- dire entre registres) les bits de donnée seront alignés selon un motif de 0 et 1 alternant, et un court-circuit vertical peut être déterminé. Par ailleurs, en direction en diagonale, les bits alternent également entre 0 et 1, ainsi des courts-circuits en diagonale peuvent également être détectés. Si l'on souhaite vérifier un court-circuit hori- zontal en même temps qu'un court-circuit %ertical, cela peut être effectué * par une vérification en utilisant une première valeur de donnée 01010101 dans les adresses paires et une seconde valeur de donnée 10101010 dans les adresses impaires, alternativement. Si cela est effectué, des 0 et des 1 alterneront à la fois dans les directions horizontale et verticale, permettant la détection des courts-circuits. Dans le cas o les adresses des registres du circuit d'entrée ne sont pas consécutives ou que des articles de données ayant le même nombre d'octets ne sont pas ou ne peuvent être agencés de façon consécutive, alors la donnée d'entrée peut être organisée à la façon décrite ci-dessus, réarrangée et mémorisée dans une mémoire RAM; la donnée peut alors être vérifiée dans la RAM. Dans ce cas, cela formera également une vérification partielle de la RAM. Par ailleurs, comme autre fonction de la RAM, il est également essentiel d'y maintenir les données écrites pendant une longue période, exactement telles qu'elles sont. Par conséquent, quand la RAM est vérifiée, il est préférable de prévoir un temps suffisant ou un délai suffisant entre l'écriture et la lecture des données. Par conséquent, lors de l'exécution du programme de vérification, le délai peut être prévu entre les étapes 204 et 206. Cela peut être accompli par une étape de traitement interposée entre les étapes 204 et 206, cette étape ayant pour but de retarder la lecture de la donnée à l'étape 206. Cependant, cela peut augmenter la durée de l'exécution du programme et augmenter le temps perdu, par conséquent, de préférence et en réalité, le programme sera changé pour que toutes les données reçues requises puissent être écrites à l'étape 204 en séquence puis passées à l'étape 206. Ainsi, pour la première donnée écrite d'abord dans la RAM, il peut y avoir un certain délai. Si le délai ainsi produit est insuffisant, l'étape ci-dessus mentionnée peut être interposée entre les étapes 204 et 206. Dans ce cas, le délai à produire par l'étape est plus court que celui requis dans l'exemple ci-dessus et diminuera considérablement la perte de temps. En se référant à la figure 8, elle illustre un diagramme de calcul qui montre en plus de détail l'exécu- tion du programme de vérification à utiliser avec le moyen de vérification selon le mode de réalisation préféré de l'invention. On notera que ci-après est décrite une exécution du programme de vérification pour une utilisation avec le modèle Motorola NO MC 6802. Cependant, le système spécifique du micro-calculateur est utilisé comme exemple pour donner une description détaillée du mode de réalisation préféré de l'invention, sans en aucun cas la limiter. La présente invention s'applique à tous les autres systèmes de micro-calculateura pouvant fonctionner comme on le cherche dans l'invention. Dans le modèle Motorola NO MC 6802, sont prévus huit bits de RAM aux adresses O à 127. Par ailleurs, aux adresses 1200 à 1203 sont respectivement mémorisées des valeurs de données de référence 01010101 10101010, 00000000 et 11111111. Le programme de vérification commence au DEBUT. D'abord, à l'étape de traitement 220, la donnée N3 comptant la phase d'exécutbn du programme est vidée ou remise à 0. La donnée N3 est mémorisée dans un registre de repérage (registre B) de l'unité CPU par exemple. A l'étape de traitement 222, une donnée d'adresse N4 est remise à 0. La donnée d'adresse N4 peut également être mémorisée dans un registre de repérage de l'unité CPU par exemple. A l'étape de traitement 224, la donnée de référence D6 mémorisée à l'adresse 1200 + N3 ( = 1200) est lue et est écrite à l'adresse N4 ( = O). A l'étape de traitement 226, la donnée d'adresse est incrémentée de 1. A l'étape de traitement 228, la donnée D7)complément de la donnée de référence D6,est écrite à l'adresse N4 + 1. A l'étape 230, la donnée d'adresse N4 est comparée au dernier numéro d'adresse ( = 127). Si la valeur de la donnée d'adresse est plus faible que celle de la dernière donnée d'adresse, alors le programme retourne à l'étape 224.A ce moment, la donnée d'adresse N4 est incrémentée de 1 à l'étape 232. En d'autres termes, comme la donnée de référence D6 mémorisée à l'adresse 1200 + N3 ( = 0) ( = 1200) est 01010101, la donnée complément D7 est 10101010. Comme cela est apparent par le schéma de la figure 8., comme l'adresse de début est 0 et que l'adresse N4 est graduellement accrue aux étapes 226 et 232, la valeur N4 à l'étape 224 est paire et celle à l'étape 228 est impaire. Par conséquent avec cette exécution du programme aux adresses 0 à 127 de la RAM, la donnée de référence D6 ( = 01010101) est mémorisée dans chaque adresse paire et la donnée complément D7 ( = 10101010) de la donnée de référence D6 est mémorisée dans chaque adresse impaire. Quand la donnée d'adresse N4 atteint 127 et est égale au dernier numéro d'adresse, le programme passe à l'étape suivante 234. A l'étape 234, la donnée d'adresse, qui est 127, est vidée et remise à 0, de nouveau. A l'étape 236, la donnée mémorisée D8 ( = 01010101) mémorisée à l'adresse N4 et la donnée de référence D6 ( = 01010101) sont lues et comparées. Si la donnée D8 est différente de la donnée D6, une instruction de saut pour sauter à l'étape 238 est produite à l'étape 236. A l'étape 238, le signal NG est produit et est émis. Quand les valeurs D8 et D6 correspondent pendant leur comparaison à l'étape 236, le procédé passe à l'étape suivante 240. A l'étape 240, la donnée d'adresse N4 est incrémentée de 1. A l'étape 242, la donnée mémorisée D8 ( = 10101010) mémorisée à l'adresse N4 + 1 et la donnée de référence D7 ( = 10101010) sont lues et comparées. Si D8 est différente de D7, une instruction de saut est produite pour sauter à l'étape 238. A l'étape 238, un signal NG à émettre est produit. Si les valeurs D8 et D6 correspondent, le programme passe à l'étape 244. A l'étape 244, la donnée d'adresse N4 est comparée au dernier numéro d'adresse ( = 127). Si la valeur de la donnée N4 est inférieure à 127, le programme retourne à l'étape 236. A ce moment, le numéro d'adresse N4 est incrémenté de 1 à l'étape 246. L'exécution du programme dans la série des étapes 236 à 244 se répète jusqu'à ce que le numéro d'adresse atteigne 127. Quand la donnée d'adresse N4 est égale à 127, à l'étape 244, la valeur de la donnée d'adresse N4 correspond ou dépasse le dernier numéro d'adresse ( = 127), et le programme passe à l'étape 248. A l'étape 248, la donnée de compte de phase de N3 est lue du registre-B de la mémoire RAM et est comparée au dernier numéro de compte de phase ( = 3). Si N3 est de moins de 3, le programme retourne à l'étape 222. A ce moment, la donnée N3 est augmentée de 1 à l'étape 250. Alors, le programme de vérification est exécuté pour vérifier la fonction de la mémoire RAM par rapport à la donnée de référence 10101010 mémorisée à l'adresse 1201 et son complément. De la même façon, le programme de vérification est exécuté par rapport aux données de référence 00000000 et 11111111 respectivement mémorisées aux adresses 1202 et 1203 et leurs compléments. Quand la donnée de compte de phase N3 atteint 3 et correspond au dernier numéro de compte de phase ( = 3) à l'étape 248, le programme de vérification passe à l'étape 252 o un signal OK est produit et émis. Alors, le programme de vérification pour vérifier la fonction de la RAM atteint la FIN. Pendant l'exécution du programme de vérification cidessus mentionné, l'écriture et la lecture des données, les opérations complémentaires et les opéra- tions de comparaison sont effectuées par un registre-A de l'unité CPU par exemple. Le tableau II qui suit montre des données écrites aux adresses O à 9 de la mémoire RAM pendant chaque phase. TABLEAU II Phase d'adresse N3 = 0 N3 = 1 N3 = 2 N3 3 0 01010101 10101010 00000000 11111111 1 10101010 01010101 11111111 00000000 2 01010101 10101010 00000000 11111111 3 10101010 01010101 11111111 00000000 4 01010101 10101010 00000000 11111111 5 10101010 01010101 11111111 00000000 6 01010101 10101010 00000000 11111111 7 10101010 01010101 11111111 00000000 8 01010101 10101010 00000000 11111111 9 10101010 01010101 11111111 00000000 Comme on l'aura compris à l'aide du tableau II ci-dessus, pendant les première et seconde phases, c'est-à-dire pendant les phases o le compte est 0 ou 1, tous les bits de la mémoire RAM peuvent être vérifiés pour savoir si chaque bit peut être écrit par la donnée d'entrée et lu sans changement; pendant les troisième e quatrième phases, c'est-à- dire pendant les phases o le compte est 2 ou 3, tous les bits de la mémoire RAM peuvent être vérifiés pour savoir si chaque bit peut être écrit par la donnée d'entrée et lu sans changement; pendant la phase 0, une mise en court-circuit entre les mêmes bits à des adresses adjacentes et des bits adjacents à la même adresse peut être vérifiée; pendant la phase 1, une mise en court-circuit entre les mêmes bits à des adresses adjacentes et des bits adjacents à la même adresse peut être vérifiée; pendant la phase 2 d'exécution, une mise en court- circuit entre un bit à une adresse et des bits adjacents à la gauche et à la droite à des adresses adjacentes peut être vérifiée; et pendant la phase 3, la même opération de vérifica- tion peut être effectuée qu'à la phase 2. Ainsi, on peut noter que le programme de vérification ne dcot pas nécessai- rement être exécuté pour toutes les phases. En effet, pour vérifier toutes les fonctions de la mémoire RAM, il peut être suffisant d'exécuter le programme pour les phases 0, 1 et 2, par exemple. On notera de plus que le diagramme de calcul de la figure 8 ci-dessus expliqué peut s'appliquer à la vérification de l'unité d'entrée sans changer le diagramme à l'exception des étapes 222 à 232. Si l'on applique le diagramme de calcul de la figure 8 à la vérification de l'unité d'entrée, les étapes 226 et 228 seront omises du diagramme. Comme on l'a mentionné ci-dessus, le programme de vérification de la figure 8 peut accomplir la vérification des fonctions de la mémoire RAM. Cependant, de cette façon, les données précédemment mémorisées dans la mémoire RAM à vérifier seront nécessairement vidées ou réécrites pendant l'exécution du programme de vérification ce qui amène un inconvénient parce que, pour exécuter le programme de commande, toutes les données dont certaines ont été précé- demment mémorisées et vidées pendant l'exécution du programme de vérification>devront être écrites dans la mémoire RAM après la fin de l'opération de vérification par le programme de vérification. Cela provoque une perte de temps due à l'écriture des données. Si la donnée mémori- sée dans la mémoire RAM est une histoire par exemple, qui ne peut être restaurée, il sera impossible d'exécuter le programme de vérification sans perdre une partie de la donnée. Par conséquent, il est recommandé que la donnée nécessaire soit restaurée dans un autre moyen de mémorisa- tion comme, par exemple, dans une mémoire temporaire. Cependant, si le système de commande est pourvu d'une mémoire temporaire, la mémoire RAM doit être pourvue d'une capacité double de celle requise pour effectuer l'opération de commande. Autrement, pour restaurer la donnée nécessaire et importante dans la mémoire RAM, il faudra une autre mémoire RAM pouvant être connectée à la première. Pour éliminer une telle difficulté et un tel inconvénient du diagramme de calcul qui précède, un autre diagramme de calcul est montré, pour vérifier un programme, qui permet de résoudre les problèmes ci-dessus, sur la figure 9. Dans ce diagramme de calcul, les adresses de la mémoire RAM O à 127 sont divisées en seize blocs, c'est-à-dire les blocs N0s O à 15. Chaque bloc sera vérifié en séquence après avoir fini la vérification du bloc précédent. Lors de l'exécution du programme de vérification pour l'un des blocs, la donnée mémorisée dans le bloc est transférée et mémorisée dans le bloc précédent pour maintenir la mémori- sation. Comme on peut le voir sur la figure 9, immédiate- ment après le DEBUT d'exécution du programme de vérification une donnée d'adresse N9 est vidée et remise à O à l'étape 260. On notera que, sur ce diagramme, la donnée d'adresse N9 n'indique pas d'adresse individuelle mais les blocs des adresses précédemment divisées. A une étape 262, la donnée d'adresse N9 est comparée au dernier bloc NO 15. Si la valeur de la donnée d'adresse N9 est inférieure à 15, le programme passe à l'étape 264. A l'étape 264, la donnée mémorisée à chaque adresse est lue et vérifiée dans l'ordre en comparant la donnée à la donnée de référence. La façon de vérifier à l'étape 264 est sensiblement identique à ce qui est illustré sur les figures 7 et 8. Quand la donnée mémorisée et lue à chaque adresse du bloc correspond à la donnée de référence correspondante, l'étape du programme de vérification passe à l'étape 268. A l'étape 268, la donnée mémorisée au bloc suivant N9 + 1 est transférée et mémorisée dans le bloc "N9n. Ensuite, la donnée d'adresse N9 est incrémentée de 1 à l'étape 270. Alors, le programme retourne à l'étape 262. La série d'étapes 262 à 270 est effectuée de façon répétée jusqu'à ce que la donnée d'adresse atteigne 15. Quand la donnée d'adresse Ng est de 15 à l'étape 262, la valeur de la donnée d'adresse N9 correspond au dernier numéro de bloc 15, et l'étape du programme passe à l'étape 272. A l'étape 272, le signal OK est produit et transmis pour être émis. Alors, à l'étape 274, la donnée d'adresse N9 est comparée au premier bloc numéro 0. Si la donnée d'adresse N est supérieure à 0, le programme passe à l'étape 276. A l'étape 276, la donnée mémorisée au bloc N9 - 1 est transférée et mémorisée au bloc N9. Ensuite, la donnée d'adresse N9 est diminuée de 1 à l'étape 278. Alors, le programme retourne à l'étape 274. La série d'étapes 274 à 278 est répétée jusqu'à ce que la donnée d'adresse N9 et le numéro O du premier bloc corres- pondent. Si le résultat de la vérification à l'étape 264 détermine une erreur à l'étape 266, le programme passe à l'étape 280. A l'étape 280, un signal NG est produit et émis. Ensuite, à l'étape 274, la donnée d'adresse N9 est comparée au numéro O du premier bloc. Si la donnée d'adrese N9 est supérieure à 0, le programme passe à l'étape 266. A l'étape 276, la donnée mémorisée au bloc N9 - 1 est transférée et mémorisée au bloc N9. Ensuite, la donnée d'adresse N9 est diminuée de 1 à l'étape 278. Alors, le programme retourne à l'étape 274. La série des étapes 274 à 278 est répétée jusqu'à ce que la donnée d'adresse N9 et le numéro O du premier bloc correspondent. Ainsi, les fonctions de toutes les adresses dans la mémoire RAM peuvent être vérifiées, mais la donnée précédemment mémorisée est maintenue à l'exception de la donnée au bloc 0. Pour éviter la perte de données nécessaires ou importantes, une donnée pas trop nécessaire ou importante doit être mémorisée au bloc 0. En se référant maintenant à la figure 10, elle montre un diagramme de calcul d'un programme de vérifica- tion des fonctions de la mémoire ROM. Comme la mémoire ROM a pour fonction la mémorisation de programme à exécuter dans l'unité CPU et des données pour l'exécution du programme sous forme d'un code binaire ou d'une représenta- tion décimale, la vérification sera effectuée en lisant la donnée mémorisée dans la mémoire ROM et en comparant la donnée lue à la donnée qui devrait être mémorisée aux adresses. Par conséquent, la vérification peut être accomplie, dans la pratique, en comparant la donnée lue à la donnée de référence. Le programme de commande et ses données seront mémorisés dans la mémoire ROM1 31 de la figure 1 et le programme de vérification et les données de référence seront mémorisés dans la mémoire ROM2 32 de la figure 1. Pour accomplir la vérification des fonctions de la mémoire ROM, les données mémorisées à chaque adresse de la mémoire 31 sont lues dans l'ordre et comparées à des données de référence correspondantes et mémorisées aux adresses correspondantes de la mémoire 32. Si la fonction de la mémoire 31 est correcte, la donnée qui en est lue doit correspondre à la donnée de référence correspondante. Par le procédé ci-dessus de vérification, on peut vérifier la fonction de la mémoire 31. Cependant, de cette façon, la mémoire 32 doit avoir au moins la même capacité que la mémoire 31. Si la mémoire 32 est contenue dans le système de commande sous forme d'un composant, cela augmente nécessairement la dimension de la mémoire ROM 30 de la figure 1 comprenant les mémoires ROM1 31 et ROM2 32. Cela peut également provoquer une augmentation du prix du système. Pour éviter un tel inconvénientil est préférable d'accomplir la vérification des fonctions de la mémoire ROM en utilisation avec une ROM et une unité arithmétique à l'extérieur du système. On notera que, si nécessaire, l'unité CPU dans le système peut être utilisée comme unité arithmétique pour accomplir l'opération de vérification. Cependant, comme on l'a mentionné ci-dessus, l'unité CPU dans le système peut être utilisée comme unité arithmétique pour l'opération de vérification qui sera révélée ci-après dans un exemple dans une utilisation avec une mémoire ROM et une unité arithmétique à l'extérieur du système. Dans ce cas, la donnée mémorisée dans la mémoire ROM du système en est lue et est appliquée à l'unité arithmétique. En même temps, la donnée de référence correspondante est lue de la mémoire ROM à l'extérieur du-système. L'unité arithmétique sert à comparer les données pour voir si elles correspondent. De cette façon, seul un programme pour lire les données mémorisées dans la mémoire ROM du système et les émettre est requis dans le système de commande pour vérifier la fonction de la mémoire ROM. Ainsi, le système de commande peut être réduit en dimension et en prix. La figure 10 donne un schéma de calcul d'un programme pour lire et émettre la donnée mémorisée dans la mémoire ROM du système. On notera que l'on donnera ci-après un exemple d'un cas o les données sont mémorisées aux adressesl COà 3999 de la mémoire ROM. Immédiatement après le DEBUT du programme, une donnée d'adresse N5 généralement mémorisée dans un registre de l'unité CPU, est établie à 1000 à l'étape 302. A l'étape 304 suivante, la donnée D9 mémorisée à l'adresse N5 ( = 1000) de la mémoire ROM est lue. La donnée D9 lue est issue par l'unité de sortie du système, procédé qui sera illustré ci-après, à une étape 306. Alors, la donnée d'adresse est comparée au dernier numéro d'adresse { = 3999) à une étape 308. Si la valeur de la donnée d'adresse N5 est inférieure à la dernière adresse, la commande passe à une étape 310. A l'étape 310, la donnée d'adresse N5 est augmentée ou incrémentée de 1. La commande retourne alors à l'étape 304 o la donnée D9 mémorisée à l'adresse N5 + 1 de la mémoire ROM est lue. En répétant la série ci- dessus mentionnée d'étapes 304 à 310, on peut vérifier, dans l'ordre, les fonctions de toutes les adresses 1000 à 3999 de la mémoire ROM. Quand la donnée d'adresse N5 atteint 3999,ce qui correspond au dernier numéro d'adresse, l'étape 308 effectue une décision selon laquelle le programme de vérification est terminé. La donnée lue et émise est vérifiée par comparaison avec la donnée de référence qui lui correspond qui est mémorisée dans la ROM à l'extérieur du système de commande. On comprendra que le programme de vérification est exécuté dans l'unité arithmé- tique à laquelle la donnée lue de la mémoire ROM du système et la donnée de référence lue de la mémoire ROM de vérifi- cation sont transférées, et o l'opération de comparaison est effectuée par rapport aux deux données. Z2Q.Z03u1. On expliquera maintenant un procédé pour l'émission de la donnée du système de commande. Pour l'émission de la donnée, sont prévue un certain nombre de bornes de sortie, dont le nombre correspond au nombre de données. Il est préférable que, comme l'émission de données est faite par partage dans le temps, l'impulsion d'horloge normalement appliquée au système de commande soit appliquée à l'unité arithmétique pour commander cette dernière en synchronisme avec le système de commande. Cela peut avoir pour résultat l'élimination du retard ou délai entre les opérations du système de commande et de l'unité arithmétique. Cela est également avantageux pour rendre plus précise l'opération de vérification. Bien que le système de sortie ci-dessus mentionné soit préférable du point de vue précision du résultat de la vérification, il présente l'inconvénient de nécessiter un grand nombre de bornes de sortie dans le système de commande. Pour éviter et éliminer un tel inconvénient, il serait pratique de moduler la forme de la donnée de -sortie par une modulation d'impulsionscodées et d'appliquer une conversion parallèle- série. Ainsi, un signal de sortie consistant en plusieurs bits, par exemple huit bits peut être émis par une ligne de sortie. Ainsi, le nombre des bornes de sortie prévues sur le système de commande peut être considérablement réduit. Par ailleurs, en réduisant les bornes de sortie, il est possible d'augmenter la durabilité de la vérification. On décrira ci-après un exemple pouvant s'appliquer au système de commande selon l'invention. Dans cet exemple, pour convertir les données en parallèle en données en série, on emploie un convertisseur parallèlesérie comme, par exemple, Motorola Modèle NO 6850 ou Motorola Modèle 6852. Les données à la sortie de l'unité CPU sont introduites et écrites au convertisseur parallèle-série et converties en un train d'impulsions codées en série. Il est apparent que, ces dernières années, des systèmes de micro-calculateurs ont été développés o sont incorporés de tels convertis- seurs parallèle-série et si un tel micro-calculateur est utilisé, un autre convertisseur est inutile. Bien que le procédé de sortie ci-dessus mentionné puisse simplifier la construction du circuit de sortie, cela peut augmenter son prix. En considérant le prix, il sera préférable de convertir les données codées en parallèle en données codées en série sans utiliser un convertisseur parallèle-série. La figure 11 montre une façon de convertir les données à la sortie de l'unité CPU en un train d'impulsions codées en parallèle. On notera que sur la figure 11 est illustrée une étape de procédé correspondant à l'étape 306 de la figure 10 et par cette étape, huit bits de donnée sont convertis d'un code parallèle à un code série. Après le DEBUT du programme, d'abord la sortie est remise à O à l'étape 320. On notera que, dans ce programme, un signal de début de bit et un signal d'arrêt de bit sont produits et appliqués à l'unité arithmétique afin de débuter et d'arrêter l'exécution du programme. Le signal de début de bit est produit en remettant la sortie de la valeur 1 à O et le signal d'arrtt de bit est produit en établissant la valeur de sortie à 1. Ainsi, quand la valeur de sortie est remise de la valeur 1 à la valeur O et que l'unité arithmétique détecte le signal de début de bit, le programme débute. Après mise en marche de l'unité arithmétique, l'exécution du programme est retardée d'une période t1 afin d'ajuster la durée pour moduler la donnée de sortie à une donnée paire, à l'étape 322. Ce retard sera effectué en exécutant de façon répétée des instruc- tions PAS D'OPERATION ou en exécutant un programme en boucle, qui peut n'avoir aucune signification, pendant la période requise. Ensuite, à l'étape 324, le compte de phase N6 est remis à 0. A l'étape 326, le bit le moins important de la donnée D9 est appliqué à l'unité arithmé- tique. A l'étape 328, le contenu de D9 est décalé d'un bit vers la droite, ainsi le bit au-dessus du bit le moins important devient le bit suivant à émettre. Après l'opéra- tion de l'étape 328, un retard t2 est produit par l'étape 330. Le procédé pour former le retard t2 est sensiblement le même que celui expliqué pour l'étape 322. Après expira- tion du retard t2, le compte de phase N6 est incrémenté de 1 à l'étape 332. Alors la donnée N6 est comparée à 8 à l'étape 334. Si la valeur de N6 est inférieure à 8, le programme retourne à l'étape 326 pour exécuter de façon répétée la série des étapes 326 à 334. La série d'opéra- tions peut être répétée jusqu'à ce que la valeur du compte N6 atteigne ou dépasse la valeur de 8 à l'étape 334. En réalité, dans l'exemple ci-dessus révélé, la série d'opé- rations est répétée 8 fois. Quand on a décidé que la donnée N6 était égale ou supérieure à 8, la commande passe à l'étape 336 o le signal du bit d'arrêt est appliqué à l'unité arithmétique. Après expiration d'un retard t3 produit par une étape 338, le programme atteint la FIN. Le retard t3 est produit afin d'attendre que l'unité arithmétique ait fini son opération de vérification. Par conséquent, si l'opération de vérification par l'unité arithmétique peut être terminée en un temps sensiblement court, l'étape 338 est inutile et peut être omise. On notera que, bien que dans le diagramme de calcul spécifique, le programme pour convertir le code parallèle en code série soit révélé, cela peut être fait autrement; par exemple l'étape de décision 334 peut être agencée entre les étapes 326 et 328. Dans ce cas, le compte N6 est comparé à la valeur 7. Par suite de la conversion parallèle-série ci- dessus expliquée, un code en série tel que celui représenté sur la figure 12, par exemple, peut être émis. Sur la figure 12 est illustrée une forme d'onde du signal de sortie ayant pour valeur 01110101. Comme les adresses de la ROM à vérifier par le programme de vérification ci-dessus peuvent être précédem- ment décidées avant d'exécuter le programme et comme la donnée mémorisée à chaque adresse est émise en séquence, l'adresse d'o la donnée est émise peut être déterminée en comptant les bits de début appliqués à l'unité arithmé- tique. Cependant, il sera préférable d'émettre la donnée d'adresse N5 en même temps que la donnée mémorisée D. Dans la pratique, la donnée d'adresse N5 et la donnée mémorisée D9 sont émises alternativement. Cela peut produire des avantages et des inconvénients pour détecter de quelle adresse a été émisela donnée mémorisée D9. Par ailleurs, on peut s'attendre à pouvoir omettre l'élément de comptage pour compter le bit de début de l'unité arithmétique afin de simplifier l'unité et d'augmenter sa durabilité. On comprendra que le procédé ci-dessus mentionné pour convertir le code en parallèle en code en série peut s'appliquer à un élément de sortie durésultat de la vérification par rapport à d'autres unités ou éléments; par exemple, l'unité d'entrée ou RAM. Bien que le procédé ci-dessus révélé permette de vérifier les fonctions de la mémoire ROM par rapport à toutes les données qui y sont mémorisées, et qu'il soit de plus avantageux pour détecter quelle donnée est erronée, il faut un temps sensiblement important pour exécuter le programme de vérification à la fois dans le système de commande émettant toutes les données mémorisées dans la ROM et dans l'unité arithmétique effectuant l'opération de vérification. Pour éviter de tels inconvénients dans l'exemple qui précède, on prévoit un autre procédé de vérification des fonctions de la mémoire ROM à utiliser avec le moyen de vérification selon le mode de réalisation préféré de l'invention. L'autre procédé sera décrit en se référant aux figures 13 et 14. On notera que, pour accomplir la méthode de vérification précédemment expliquée, il y a deux façons, dont une consiste à calculer la somme des valeurs de toutes les données par une opération arithmétique, l'autre consistant à calculer la somme logique des données par une opération logique. D'abord est révélé un procédé pour vérifier les fonctions de la mémoire ROM en calculant la somme arithmétique. La figure 13 montre un diagramme de calcul d'un programme pour vérifier les fonctions de la mémoire ROM en calculant la somme arithmé- tique de toutes les données qui y sont mémorisées. Immédiatement après le DEBUT du programme, un registre A, qui peut être un registre-A de l'unité CPU et o doit être mémorisée la somme arithmétique des données, est remis à O à l'étape 340. Ensuite, à l'étape 342, une donnée d'adresse N5 est établie à la valeur de la première adresse de la mémoire ROM. Dans cet exemple, la mémoire ROM a des adresses 1000 à 3999. Par conséquent, la donnée d'adresse N5 est d'abord établie à 1000. A l'étape 344, la donnée D9 mémorisée à l'adresse N5 ( = 1000) est lue. La donnée N5 lue est ajoutée à la valeur dans le registre A à l'étape 346. Ensuite, à l'étape de décision 348, la donnée d'adresse N5 ( = 1000) est comparée au numéro d'adresse finale.( = 3999). Si la valeur de la donnée d'adresse N5 est inférieure à 3999, le programme retourne à l'étape 344. A ce moment, la donnée d'adresse N est incrémentée de 1 à l'étape 350. Ainsi, dans une série suivante d'étapes 344 à 348, la donnée mémorisée à l'adresse N + 1 ( = 1000) est ajoutée au registre A. La série d'étapes 344 à 348 est répétée jusqu'à ce que la donnée d'adresse N5 atteigne 3999. Par conséquent, dans cet exemple, la série d'étapes 344 à 348 est répétée 4.000fois. Quand l'étape 348 décide que la donnée d'adresse N5 a atteint 3999, alors le programme passe à une étape de décision 352. A l'étape 352, la donnée mémorisée au registre A, qui est la somme arithmétique de toutes les données D9, est lue et comparée à une valeur de donnée de référence D10. Si les valeurs de données correspondent, un signal OK est produit et émis à l'étape 354. Si les valeurs des données sont différentes, un signal NG est produit et émis à l'étape 356. On notera bien entendu que la valeur de la donnée de référence Di. sera précédemment établie à la somme arithmétique des valeurs D9. Il est naturel que, quand on ajoute un grand nombre de valeurs de données, le nombre des chiffres dans la somme arithmétique soit important. Bien entendu, il est possible de vérifier les fonctions de la mémoire ROM en comparant tous les chiffres de la somme à la donnée de référence D10. Dans ce cas,la donnée de référence D10 doit 2 46023 1 comporter le même nombre de chiffres que la somme. Cependant, il sera préférable de vérifier la somme en se référant à la donnée de référence Di. en ne comparant que quelques-uns des chiffres les moins importants aux chiffres correspondants de la donnée de référence. Par exemple, si des groupes de huit bits de valeurs de données sont ajoutés et si une ou plusieurs valeurs sont erronées, la différence entre la somme et la donnée de référence deviendra apparente en comparant l'octet le moins importantde chaque valeur. Par conséquent, la vérification de la mémoire ROM peut être accomplie en comparant l'octet le moins important de la somme et de la donnée de référence D10. Dans la pratique, si chaque donnée est ajoutée au registre A et si une retenue de colonne est faite, la colonne retenue peut être omise et simplement l'octet le moins important de la donnée peut être mémorisé au registre A. Il sera de plus préfé- rable d'agencer les données à ajouter dans la somme arithmétique de façon que la valeur de l'octet le moins important, s'il n'y a pas de donnée d'erreur, soit à une valeur prédéterminée, par exemple 00000000 ou 01010101. Cela permettra également de vérifier une mise en court- circuit entre des bits adjacents du registre A. On expliquera maintenant un autre procédé de vérification de la mémoire ROM en utilisant la somme des données mémorisées dans la mémoire, o l'on compare la somme logique exclusive à la donnée de référence corres- pondante D10. Dans la pratique, la somme logique exclusive peut être calculée par une opération de somme logique exclusive dans l'étape 346 de la figure 13 o la donnée D9 mémorisée à l'adresse N5 est ajoutée au registre A. Cela signifie, en d'autres termes, la vérification de la parité de données. Bien entendu, la parité de la donnée de référence doit correspondre à celle des valeurs de données. Par ailleurs, si on le souhaite, on peut utiliser une valeur de donnée pour ajuster la parité simplement dans le but de la vérification afin que la somme logique exclu- sive soit une valeur prédéterminée. Il est également possible de vérifier les fonctions de la mémoire ROM en vérifiant la somme logique exclusive de toutes les données D9 en se référant à la donnée de référence D10. Cela signifie que l'on effectue une vérification de parité par rapport à la somme des données D9. La figure 14 montre un diagramme de calcul pour l'exécution du programme de vérification. Immédiatement après le DEBUT, à l'étape 360, le registre A est remis à 0. Alors, à l'étape 362, la donnée d'adresse N5 est établie à la première adresse ( = 1000) à vérifier. On notera également dans cet exemple que les données mémorisées aux adresses 1000 à 3999 sont vérifiées. A l'étape 364, un compte N6 par rapport à chaque donnée D9 est remis à 0. A l'étape 368, la donnée D9 mémorisée à l'adresse N. de la mémoire ROM est lue. D'abord,- à l'étape 370, la somme logique exclusive de la donnée D9 et de ceMe dans le registre A est formée, et est remise enmémoire au registre A. Ainsi, la somme logique exclusive du bit 20 du registre A et du bit 20 de la donnée D9 est mémorisée au registre A. Ensuite, à l'étape de décision 372, le compte N6 est comparé au numéro du bit le plus important ( = 7) pour vérifier si tous les bits de la donnée D9 ont été utilisés dans la somme logique exclusive avec le bit 20 du registre A. Si la valeur du compte N6 est inférieure à 7, le programme retourne à l'étape 370. A ce moment, à l'étape 374, le compte N6 est incrémenté de 1 et à l'étape 376, la donnée D9 est décalée de un bit vers la droite. La série des étapes 370 à 376 est répétée jusqu'à ce que le compte N6 atteigne 7. En réalité, la série d'étapes 370 à 376 est répétée huit fois. Ainsi, tous les bits de la donnée D9 de 20 à 27 sont utilisés pour calculer la somme logique exclusive avec le bit le moins important 20 du registre A. Quand une décision est faite que le compte No est égal ou supérieur à 7, le programme passe à une étape de décision 378. A l'étape 378, la donnée d'adresse N5 ( = 1000) est comparée au dernier numéro d'adresse ( = 3999) pour vérifier si les données de toutes les adresses de la mémoire ROM ont été utilisées ou vérifiées. Si la valeur de la donnée d'adresse N5 est inférieure à 3999, le programme retourne à l'étape 364. A ce moment, à l'étape 380, la donnée N5 est incrémentée de 1. Ensuite, la série d'étapes 370 à 374 est exécutée par rapport à la donnée D9 de l'adresse N. + 1 ( = 1001). La série des étapes 364 à 380 comprenant la série des étapes 370 à 374 est répétée jusqu'à ce que la valeur de la donnée d'adresse N5 soit de 3999; c'est -à-dire que la série des étapes 364 à 380 est répétée quatre mille fois. Quand la donnée d'adresse N atteint 3999 et qu'une décisbn est prise selon laquelle la donnée N5 est égale ou supérieure à 3999 à l'étape 378, le programme passe à une étape de décision 382. A l'étape 382, la valeur du bit le moins important du registre A est vérifiée. Dans l'exemple représenté sur la figure 14, si la fonction de la mémoire ROM est correcte, la valeur sera de 1. Par conséquent, si la valeur du bit le moins important du registre A est 1, le programme passe à une étape 384 pour produire et émettre un signal OK. Par ailleurs, si la valeur du bit le moins important du registre est 0, le programme passe à une étape 386 pour produire et émettre un signal NG. Ainsi, peut être vérifiée la parité des données mémorisées dans la mémoire ROM. Selon une autre méthode, on peut effectuer une vérification de parité en calculant huit sommes logiques exclusives séparées o dans chacune d'elles, le bit est décalé d'un bit vers la gauche par rapport au bit de l'adresse précédente; c'est-à-dire en calculant une somme logique exclusive du bit 20 à l'adresse 1000, le bit 21 à l'adresse 1001... le bit 27 à l'adresse 10007, le bit 20 à l'adresse 1008... le bit 27 à l'adresse 1015 et ainsi de suite. Ensuite,on effectue une somme logique exclusive du bit 21 à l'adresse 1000 et ainsi de suite et cela est répété jusqu'à ce que tous les bits de toutes données de la mémoire ROM soient calculés dans la somme logique exclusive. En effet, chaque série d'opérations du bit 20 de l'adresse 1000 au bit 26 de l'adresse 3999 contenant huit séries de calcul, sera faite. Les résultats de l'opération seront vérifiés soit par série ou en total pour savoir si la valeur du bit le moins important du registre correspond à la parité correcte. Bien que la méthode de vérification ci-dessus mentionnée en vérifiant la parité puisse faciliter la vérification de la fonction de la mémoire ROM, cela peut produire une erreur de vérification dans un cas o un nombre pair de valeurs de données est incorrect, et occasionnellement le bit le moins important du registre peut correspondre à la valeur correcte même si ces erreurs sont présentes. Cette erreur se produira comparablement fréquemment dans le cas de la vérification d'un grand nombre de valeurs de données. Pour éviter en toute probabilité une telle erreur, il est recommandé de diviser les données en un certain nombre de blocs o la somme logique exclusive est individuellement calculée et la parité est vérifiée. Par exemple, dans le cas o l'on vérifie la parité par rapport aux données mémorisées aux adresses 1000-à 9999, -les données sont divisées en trois blocs, adresses 1000 à 3999, 4000 à 6999 et 7000 à 9999. Pour chaque bloc, la somme logique exclusive est calculée et sa parité est vérifiée, indépendamment. Si la parité de l'un des blocs est différente de la parité correcte, le signal NG est émis pour indiquer qu'il y a une ou plusieurs valeurs de données qui sont erronées. En général, la capacité d'une mémoire RAM ou ROM, et des autres dispositifs employés pour le système de commande est de 2n bits pour tout nombre entier n. Par exemple, dans un cas, la capacité de la mémoire RAM est de 210bits ( = 27 octets) et celle de la ROM est de 213 bits ( 210 octets = 1 K octet), 214 bits ( = 2 K octet1 ou 215 bits ( = 4 K octets). en comparant les quantités de données et la capacité de la mémoire RAM ou ROM, il est naturel que cette dernière soit plus grande que la première. Par conséquent, s'il y a des problèmes dans un ou plusieurs bits qui ne sont pas utilisés pour la mémorisation de données, cela ne peut affecter le système de commande et cela peut ne pas être considéré. Ainsi, il est suffisant de vérifier les mémoires ROM et RAM dans la zone o sont mémorisées les données pour l'exécution du programme de commande. Cependant, en considérant un court-circuit entre des bits, il est préférable également de vérifier les adresses adjacentes à celles o sont mémorisées des données de commande. La vérification de l'exécution du programme de commande peut être effectuée en vérifiant la donnée à la sortie correspondant à la donnée d'entrée. Pour vérifier la donnée de sortie, on peut utiliser une donnée de commande ou de contrôle, comme par exemple, une donnée pour une table de recherche. Par conséquent, dans une simple vérification du système de commande, il sera nécessaire de ne vérifier que la donnée de commande ou contrôle mémorisée dans la mémoire ROM. Cela peut avoir pour résul- tat une simplification du programme de vérification et un raccourcissement de la durée d'exécution du programme de vérification. Ainsi, cela peut offrir des avantages, mais présente un risque d'erreur de vérification du système de commande. On expliquera maintenant un procédé pour vérifier l'unité de sortie du système de commande. En général, l'unité de sortie dans un système de commande employant un système à micro-calculateur a pour fonction d'écrire une donnée de sortie issue de l'unité CPU par suite de son opération à une adresse o est prévu un circuit de sortie. Par conséquent, la vérification de la fonction de l'unité de sortie doit être faite pour savoir si la donnée à la sortie de l'unité CPU peut être écrite à l'adresse de l'unité de sortie et peut en être lue teMe qu'elle est. Dans la pratique, par conséquent, la vérification de l'unité de sortie peut être accomplie en vérifiant la donnée intro- duite et la donnée issue et si les valeurs des données sont identiques. Pour la vérification, la donnée précédem- ment arrangée pour vérifier l'unité de sortie est écrite 48 2460231 à l'adresse de l'unité de sortie et en est lue pour application à un moyen de mesure prévu à l'extérieur du système de commande. Sur la figure 15 est illustré un diagramme de calcul du programme de vérification de l'unité de sortie. Sur la figure 15, la structure du programme de vérification est construite pour vérifier une unité de sortie ayant des circuits de sortie aux adresses 30, 32, 34 et 36. Immédiatement après le DEBUT, un compte N7 est remis à 0 à l'étape 410. A l'étape 412, la donnée D1l mémorisée à une adresse 1304 + N7 ( = 1304) est lue et réécrite à l'adresse déterminée par la donnée d'adresse D10 ( = 30) mémorisée à l'adresse 1300 + N7 ( = 1300). Les données de valeurs D11 et Dio sont données au - tableau III. TABLEAU III N7 Adresse Donnée Adresse Donnée (N00+ N7) (D1 d (1304 + N7) (D11) 0 1300 30 1304 10 1 1301 32 1305 20 2 1302 34 1306 30 3 1304 36 130 40 Alors, à l'étape de décision 414, la donnée de compte N7 est comparée au dernier compte ( = 3). Si la valeur de la donnée N7 est inférieure à 3, le programme retourne à l'étape 412. A ce moment, la donnée de phase d'exécution N7 est incrémentée de 1 à une étape 416. Ainsi, dans la série des étapes 412 et 414, le programme de vérification est exécuté pour les données D10 ( = 32) et D11 ( = 20). La série des étapes 412 à 416 est exécutée de façon répétée jusqu'à ce que la donnée N7 atteigne 3, c'est-àdire que la série des étapes 412 à 416 est répétée quatre fois. Quand la valeur de la donnée N7 est de 3 et que l'étape 414 détermine que la donnée N3 ( = 3) 49 2460231 correspond au dernier numéro de compte ( = 3), le programme passe à FIN.A ce moment, la donnée D11 ( = 10, 20, 30, 40) est écrite au circuit de sortie aux adresses Dl. ( = 30, 32, 34, 36). La sortie qui correspond à la valeur de donnée D11 est appliquée au moyen de mesure. Par le moyen de mesure, chaque sortie est mesurée. Le résultat de la mesure est comparé à la donnée correspondante D11 pour vérifier si le résultat correspond à cette donnée D11. Quand tous les résultats correspondent aux valeurs du données correspondantes respectives D11, cela indique que la fonction de l'unité de sortie est correcte, et autrement cela indique que l'unité de sortie est endommagée à un ou plusieurs bits. On remarquera que la valeur de la donnée D11 peut être changée à toute valeur. Cependant, il semble préfé- rable de changer la valeur de la donnée D1l à 00000000, 11111111, 01010101 ou 10101010, si l'on utilise huit bits. Ainsi, une mise en court-circuit entre les bits peut être vérifiée ainsi que la fonction de l'unité de sortie. Bien que, comme on l'a révélé ci-dessus, la fonction de l'unité de sortie puisse être vérifiée par une utilisation avec un moyen de mesure prévu à l'extérieur du système de commande, il est également possible de vérifier l'unité de sortie en utilisant l'unité d'entrée. Cela peut être préférable car cela ne nécessite pas de moyen de mesure à l'extérieur du système. La figure 16 montre, par exemple, une structure préférée d'un moyen de vérification pour vérifier l'unité de sortie. Une unité de commande 190 comprend une unité d'entrée, une unité CPU, une mémoire RAM, une ou plusieurs mémoires ROM et une unité de sortie. L'unité d'entrée est pourvue d'un certain nombre de bornes d'entrée I à I6. L'unité de sortie est pourvue d'un certain nombre de bornes de sortie QI à 04. Les bornes d'entrée Il., I2 I4 et I6 sont respectivement reliées aux bornes de sortie 0 à 04 par des lignes 11 à 14. Uniquement pour l'explication, de la borne de sortie Q1 est issu un signal de sortie sous forme d'un signal à -50 2460231 fréquence variable; de la borne de sortie 02 est issu un signal par tout ou rien; de la borne de sortie 03 est issu un signal dont la largeur d'impulsion est variable; et de la borne 04 est issu un signal analogique. Selon le signal à la sortie de chaque borne de sortie correspondante, la borne d'entrée Il permet à un signal de fréquence de passer; les bornes I2 et I3 permettent à un signal par tout ou rien de passer; la borne I4 permet à un signal impulsionnel de passer; et les bornes I5 et I6 permettent le passage d'un signal analogique. Comme on l'a mentionné précédemment, si le nombre de bornes d'entrée est supérieur au nombre de bornes de sortie et que les sortes des signaux à faire passer par les bornes d'entrée comprennent toutes les sortes de signaux pouvant être émis des bornes de sortie, chaque borne de sortie sera simplement reliée aux bornes correspondantes. Si la borne de sortie est reliée à une borne d'entrée permettant à une sorte différente de signal de passe et ne permettant pas au signal à la borne de sortie de passer, il est nécessaire de disposer un convertisseur pour adapter le signal de sortie au signal d'entrée devant passer par la borne d'entrée. Par exemple, si le signal de sortie est un signal-à fréquence variable, tandis que la borne d'entrée ne laisse passer que des signaux analogiques, il sera nécessaire de disposer un convertisseur fréquence-analogique entre les bornes. Si le nombre de bornes de sortie est supérieur au nombre de bornes d'entrée, un dispositif de choix de signaux comme une unité de canal à multiplexeur sera prévu afin d'admettre des signaux de sortie différents à une borne d'entrée, par partage dans le temps. Pour vérifier si le signal de sortie est identique à la donnée écrite dans le circuit de sortie, les programmes représentés à la figure 17 seront liés aux programmes de vérification de l'unité d'entrée de la figure 6, par exemple. Dans ce cas, la donnée écrite au circuit de sortie est émise sous forme d'un signal d'entrée de l'unité d'entrée. Dans l'unité d'entrée, le signal de sortie provenant de l'unité de 51 2460231 sortie est mémorisé et lu pour vérifier si la donnée contenue dans le signal est identique à la donnée D1l en se référant à une signal de référence. on notera, bien entendu, que la donnée de référence à comparer au signal de sortie est précédemment adaptée à la donnée D corres- pondant au signal de sortie. On notera également qu'en vérifiant l'unité de sortie par cette dernière méthode, on peut également vérifier l'unité d'entrée car si l'unité d'entrée est endommagée, la donnée de sortie transmise de l'unité de sortie et mémorisée dans l'unité d'entrée peut ne pas correspondre à la donnée de référence. S'il y a une erreur, lors de la vérification de l'unité d'entrée ou l'unité de sortie est endommagée, chaque unité doit être de nouveau vérifiée par les méthodes individuelles précédentes. S'il y a un retard entre les opérations de l'unité de sortie et de l'unité d'entrée, il est recommandé de prévoir un circuit retardateur entre les unités pour augmenter la précision de la vérification. Par ailleurs, il est préférable d'agencer les données de vérification de l'unité de scrtie de façon que dans tous les bits du circuit de sortie et de l'unité d'entrée, des O et des 1 puissent être écrits. Ainsi, une mise en court-circuit entre les bits ainsi qu'une vérification des fonctions de l'unité peuvent être vérifiés. Il est également recommandé de prévoir, dans la donnée de référence, une gamme corres- pondant à la gamme permissible des unités d'entrée et de sortie. Quand on vérifie l'unité d'entrée et le programme de commande, comme on l'a mentionné ci-dessus, la vérifica- tion peut être effectuée en introduisant un signal donné dans le système de commande et en vérifiant les sorties par suite de l'opération du système de commande. Cependant, si une certaine erreur est détectée pendant l'opération de vérification ci-dessus, il est impossible de savoir si l'erreur est provoquée par des erreurs de l'unité d'entrée ou une erreur du programme ou du fonctionnement du micro- calculateur. Pour éviter un tel inconvénient, il est 52 2460231 préférable de déterminer la donnée d'entrée pour exécuter le programme de commande à utiliser avec le programme de vérification. En réalité, pour vérifier le programme de commande et l'unité CPU exécutant ce programme, comme données d'entrée pour exécuter le programme de vérification de l'unité CPU, seules les données pour exécuter le programme de vérification sont introduites et à ce moment le signal d'entrée transmis par l'unité d'entrée n'est pas utilisé pour la vérification. De cette façon, même si l'unité d'entrée est dans l'erreur et par conséquent ne peut introduire de données correctes au CPU, le programme de commande et le CPU peuvent être vérifiés. Par ailleurs, si l'unité d'entrée comprend un circuit analogique pour recevoir un signal analogique X10, ou un circuit de signaux de fréquence pour recevoir un signal de fréquence, des erreurs de conversion provoquées par l'irrégularité des signaux, des erreurs de quantification et autres n'affecteront pas l'opération de vérification du programme de commande. Ainsi, la vérification du programme de commande peut être faite sans être affectée par des problèmes de la phase d'entrée et le résultat de la vérification peut *être assez durable. On expliquera maintenant la façon dont les résultats des vérifications sont issus ou émis. On notera que le procédé révélé ci-après d'émission des résultats de vérification peut s'appliquer à la vérification de l'unité d'entrée, de la mémoire RAM, de la mémoire ROM, de l'unité CPU et de l'unité de sortie. D'abord, la façon la plus simple d'émission des résultats consiste à prévoir une unité spéciale de sortie pour l'émission des résultats de vérification seulement. L'unité spéciale changera la sortie en réponse à un signal OK ou à un signal NG qui lui sera appliqué pendant l'exécution du programme de vérifi- cation. Ce procédé est avantageux car il n'affecte pas la sortie pour commander la conduite du véhicule ou des équipements du véhicule. Cependant, cela nécessite une augmentation du circuit de sortie, augmentant le prix du 53 2460231 système de commande. Pour réduire le nombre de circuits de sortie, et ainsi réduire le prix, un ou plusieurs circuits de sortie seront utilisés en commun pour I'émissicn des résultats de vérification ainsi que pour l'émission des signaux de commande. Afin de ne pas affecter, ou d'affecter aussi peu que possible la sortie du signal de commande et pour contrôler la conduite du véhicule et autres équipements, un ou plusieurs circuits de sortie pour l'émission du signal de commande pour attaquer des indicateurs d'alarme ou des dispositifs d'indication peuvent avantageusement être utilisés pour l'émission des résultats de vérification. Comme de tels indicateurs sont prévus dans le but d'avertir d'un fonctionnement erroné d'un certain élément du véhicule ou d'indiquer une condition d'une certaine caractéristique, cela ne peut affecter la conduite réelle ou le fonctionnement d'autres équipements du véhicule. Par ailleurs, pour une utilisation avec un circuit de sortieccmnun indicateur, le résultat de la vérification peut, par exemple, être indiqué de façon visuelle. D'autres circuits de sortie, par exemple des circuits pour émettre un signal de commande pour commander la conduite du moteur ne doivent pas être utili- sés pour émettre les résultats de vérification car cela pourrait éventuellement provoquer un défaut de fonctionne- ment du système de conduite ou d'entraînement. Cependant, si l'unité de commande est vérifiée indépendamment ou séparément de la commande réelle c système d'entraînement ou autres équipements du véhicule, il peut être possible d'utiliser son circuit de sortie comme circuit de sortie des résultats de vérification. Pour l'émission du résultat de vérification, aussi bien dans le cas de l'utilisation des circuits de sortiepOUr deindicateurs ou d'autres éléments, il est préférable d'émettre le résultat en une période sensiblement courte de temps pour éviter d'affecter la commande ou réduire cet effet autant que possible. Comme une variation de l'intensité d'une lampe indicatrice ou diode photo- 54 2460231 émettrice en réponse à une variation de courant sur une période de plusieurs millisecondes ne peut être détectée à l'oeil, et que, de même, un circuit à relais ou une soupape électromagnétique et autres ne répondront pas à une telle variation du courant en quelques millisecondes du fait du retard de réponse, tandis qu'un dispositif de mesure électrique peut être sensible à un tel changement de courant même si le changement se produit en une période sensiblement courte, il sera préférable d'émettre les résultats de vérification en une période relativement courte. Pour émettre réellement les résultats de vérifica- tion, uniquement quand ces résultats sont NG, la sortie est inversée pendant un moment, par exemple. Ainsi, les problèmes du système de commande peuvent être indiqués sans faire varier la sortie du signal de commande. Par ailleurs, lors de l'émission des résultats de vérification, il est préférable d'indiquer d'autres informations du résultat devérification ainsi que OK ou NG, par exemple l'élément du système de commande qui est dans l'erreur. Dans le cas o l'on vérifie simultanément les mémoires ROM et RAM, et si l'une d'entre elles est dans l'erreur, le résultat de vérification est indiqué par NG. Pour l'entre- tien de l'élément, l'unité de commande préférera évidemment savoir quel élément doit être réparé pour faciliter l'entretien. Si l'unité de commande comprend un certain nombre de mémoires ROM et sait quelle ROM est dans l'erreur, il est possible de la remplacer. Cela peut avoir pour résultat une réduction du temps et de la dépense d'entre- tien. Il serait également pratique de savoir quelle unité d'entrée est dans l'erreur si plusieurs circuits sont contenus dans l'unité. Pour indiquer quel élément est perturbé et doit être réparé, un nombre indiquant l'élément perturbé est indiqué, et les nombres sont associés à chaque élément du système de commande ou chaque programme de vérification. La figure 17 montre un exemple de l'émission du résultat de la vérification avec l'information indiquant l'élément qui est perturbé. Quand les résultats 2460231 de vérification par rapport à tous les éléments sont OK, le programme débute à DEBUT I. Qaund le programme débute à DEBUT I, la donnée de sortie D12 est remise à O à l'étape 420. La donnée D12 est appliquée à l'étape 422. On notera que le procédé d'émission du résultat de vérifi- cation est sensiblement le même que ceux que l'on a précédemment expliqués en se référant aux figures 11 et 12. Quand l'unité d'entrée est dans l'erreur et pendant l'exécution de son programme de vérification, un signal NG est produit, et le programme débute à DEBUT II, Dans ce cas, à l'étape424, la donnée de sortie D12 est établie à 1. A l'étape 422, la donnée D12 ( = 1) est appliquée ou émise. Ainsi, quand l'indicateur indique 1, cela indique que l'unité d'entrée est dans l'erreur. Quand la RAM est dans l'erreur et pendant son programme de vérification, un signal NG est produit, le programme débute à DEBUT III. A l'étape 426, la donnée de sortie D12 est établie à 2. La donnée D12 ( = 2) est émise pour indiquer que la mémoire RAM est dans l'erreur, à l'étape 422. Quand la mémoire ROM est dans l'erreur et pendant son programme de vérification, un signal NG est produit, le programme débute à DEBUT IV. A l'étape 428, la donnée de sortie D12 est établie à 3. La donnée D12 ( = 3) est émise à l'étape 422 pour indiquer que la mémoire ROM est dans l'erreur. Quand l'unité de sortie est dans l'erreur et qu'un signal NG est produit pendant l'exécution du programme de vérification de l'unité de sortie, le programme débute à DEBUT V. A l'étape 430, la donnée de sortie D12 est établie à 4. La donnée D12 ( = 4) est émise à l'étape 422 pour indiquer que l'unité de sortie est dans l'erreur. Ainsi, la donnée D12 est appliquée à un moyen de mesure prévu à l'extérieur du système de commande. Ainsi cela permet d'indiquer si le système de commande fonctionne de façon correcte et de plus s'il y a un élément dans l'erreur, et lequel. Si on le souhaite, la donnée de sortie D12 contenant une combinaison d'informa- tions peut être indiquée par une certaine représentation en nombre. Bien que dans l'exemple ci-dessus expliquée 56 2460231 on utilise des nombres agencés spécialement pour indiquer quel élément du système de commande est dans l'erreur, il est possible d'indiquer l'élément erroné en utilisant l'adresse de cet élément erroné. Par exemple, pour l'adresse 10 de l'unité d'entrée, la donnée de sortie D,2 est établie à 10 à l'étape 424. Par ailleurs, si on le souhaite, en même temps que la donnée de sortie D12 ayant une valeur correspondant à l'adresse de l'élément erroné, le contenu de l'adresse peut être émis pour faciliter la recherche de la cause du trouble. Quand un élément du système de commande est erroné ou fonctionne mal, il n'est pas souhaitable de maintenir le véhicule sous la commande d'un tel système. Il est préférable d'indiquer une telle situation du système de commande ou de cesser son fonctionnement, autrement le véhicule peut éventuellement être soumis à un danger. Pour indiquer le problème avec le système de commande, on peut utiliser le signal de sortie qui est le résultat de la vérification. Il est également possible de faire varier la sortie pour faire varier la condition d'alarme pour indiquer quel problème s'est posé dans le système de commande. Le programme de commande peut être arrêté, par exemple, en exécutant un autre programme qui est structuré pour fonctionner en boucle afin de n'émettre aucun signal de sortie. Il est également possible d'arrêter le véhicule en arrêtant l'alimentation en carburant ou en arrêtant l'allumage, par exemple, en réponse à la sortie du programme de vérification. Bien que, comme on l'a mentionné ci-dessus, quand le système de commande fonctionne mal, le véhicule puisse être protégé d'un danger en arrêtant le système de commande ou en arrêtant le véhicule, cela n'est pas si souhaitable et produit de gros inconvénients. Pour empêcher un tel inconvénient ou désavantage, il sera préférable de prévoir des éléments auxiliaires dans le système de commande pouvant remplacer des éléments fonctionnant mal. En général, certains éléments d'un système de commande comprenant une 57 2460231 unité d'un micro-calculateur pour application à un véhicule automobile peuvent être remplacés quand des mauvais fonc- tionnements des éléments sont détectés lors d'une vérifica- tion initiale avant que le système ne soit enduit pour le rendre étanche à l'eau ou aux liquides, mais il est assez difficile de remplacer les éléments après les avoir encapsulés. Par ailleurs, les éléments employés dans le système de commande comme les mémoires ROM et RAM, ont généralement une entrée permettant de choisir l'élément. Par conséquent, il est possible d'incorporer des éléments auxiliaires afin de remplacer automatiquement ceux fonc- tionnant mal en réponse au résultat de la vérification, en utilisant cette entrée de sélection. Ainsi, si un certain élément dans le système de commande fonctionne mal, le système de commande peut conserver un fonctionnement correct pour contrôler le système d'entraînement du véhicule et autres équipements. Par exemple, quand la mémoire ROM contenant le programme de commande fonctionne mal, la sortie du résultat de vérification de la ROM est appliquée à son entrée de sélection et la sortie inversée est appliquée à l'entrée de sélection de la mémoire ROM auxiliaire. Ainsi, la mémoire ROM défecteuse est déconnec- tée et remplacée par la mémoire ROM auxiliaire pour mainte- nir la commande du système d'entraînement du véhicule et autres équipements du véhicule. Pour les unités d'entrée et de sortie, sont prévus plusieurs circuits sélectivement utilisés pour l'introduction ou l'émission de signaux. Pour choisir les circuits, est de plus prévu un circuit à relais pour sélectivement relier le circuit d'entrée ou de sortie à l'unité d'opérationsarithmétiquesdu système de commande. De plus, pour l'unité de sortie, quand des éléments du système de commande autres que l'unité de sortie fonctionnent mal, l'unité de sortie émet un signal de commande correct même si l'unité de sortie elle-même fonctionne normalement. Dans ce cas, il est souhaitable de maintenir les signaux de commande de sortie en introdui- sant la donnée de commande à l'unité de sortie par un 58 2460231 autre système de commande. Par exemple, pour un système de commande d'allumage, quand le programme de commande pour la commande d'allumage effectue une erreur parce qu'un élément de détection ou de mesure de la cadence d'allumage est endommagé, en remplacement, un programme auxiliaire émettant un signal de commande fixe sera exécuté. Par ailleurs, pour un système de commande de carburant, quand le capteur de la température du moteur ou un circuit d'entrée d'un signal d'entrée de température du moteur est endommagé, le programme de commande de carburant doit être modifié pour arrêter l'opération de correction en réponse à la température du moteur ou pour fixer la donnée d'entrée en fonction de la température du moteur. On notera que quand la mémoire ROM est endommagée, il est quelquefois impossible de modifier le programme de commande. Dans ce cas, il sera préférable de changer pour un circuit pouvant produire une sortie fixe ou de remplacer le système de-commande par une autre unité arithmétique ayant la fonction d'exécuter des opérations arithmétiques simples. On se référera maintenant à l'opération de mise en marche du programme de vérification ainsi qu'un procédé pour débuter un certain nombre de programmes de vérifica- tion, sous forme de sous-programmes ou sous-routines d'un programme. Comme instructions de mise en marche ou de début pour lexécution d'un programme de vérification, on prévoit des signaux d'interruption. En général, une unité d'un micro-calculateur est prévue avec des entrées pour les signaux d'interruption. Quand un signal d'interruption est introduit, le programme d'exécution ou sous-programme est arrêté et une routine ou programme d'interruption est exécuté. Si ce programme de traitement d'interruption est exécuté pour exécuter le programme de vérification inter- rompant les programmes de commande, un programme de décision pour décider si l'on doit permettre l'interruption de l'exécution du programme de vérification à l'état d'interruption sera inutile. Par conséquent, dans ce cas, les programmes de commande et les programmes de vérification peuvent être structurés indépendamment pour rendre plus facile la programmation et ainsi chaque programme peut être simplifié pour écourter sa durée. Les signaux d'interrup- tion peuvent être ou ne pas être capables d'être masqués ou inhibés. Si le signal d'interruption peut être masqué ou inhibé, il sera possible de continuer le programme de commande ou autre programme de vérification s'il est à. l'état d'inhibition d'interruption ou de masque d'interrup- tion. Ainsi, le programme de vérification peut être exécuté uniquement quand l'exécution de ce programme ne peut affecter le système de commande ou la conduite du véhicule; par exemple, quand le moteur est arrêté ou que le véhicule est garé ou arrêté. Ainsi, même si unsignal d'interruption est produit et admis du fait d'un bruit ou d'un mauvais fonctionnement tandis que le système de commande fonctionne pour commander la conduite du véhicule, comme le programme de commande est à l'état masqué, le programme de vérifica- tion n'est pas exécuté. Par ailleurs, si les signaux d'interruption ne peuvent être masqués, il sera préférable de donner, au programme de vérification, une priorité pour l'interruption. Comme le programme de vérification débute en synchronisme précis avec le signal d'interruption introduit, la synchronisation des programmes peut être facilement contrôlée. Quand il y a plusieurs programmes de vérification à exécuter, la priorité d'interruption sera déterminée en réponse à la combinaison des signaux d'entrée. Par exemple, s'il y a deux signaux numériques, quatre programmes de vérification peuvent être contrôlés par les interruptions associées. Dans un système de commande avec un système d'interruption, les signaux d'interruption sont combinés de façon variable pour contrôler la priorité d'interruption de chaque programme de vérification. Il est recommandé d'incorporer un programme pour arrêter l'exécution du programme de vérification. Un tel programme d'arrêt est 2460231 utile quand le signal d'interruption ne peut être masqué afin d'empêcher le système de commande de mal fonctionner même quand un tel signal d'interruption e9tadmis du fait d'une erreur. Ainsi, le système de commande est fiable par rapport à l'exécution du programme de vérification, et en particulier la cadence d'exécution de ce programme de vérification. La figure 18A montre un exemple d'un programme ayant plusieurs programmes de vérification comme sous- routines ou sous-programmes. Quand le courant pour le système de commande est mis en circuit, la remise à 0 1002 est actionnée. A l'étape 1004, des signaux d'enseigne FCK, FNG, FRAM, FROM sont remis à une condition ini- tiale. Dans cet exemple, tous ces signaux sont remis à 0 pour la simplification de la description. A l'étape 1006, chaque signal est établi à sa valeur initiale. Ensuite, à l'étape 1008, le programme de commande est exécuté. Bien que l'étape 1008 d'exécution du programme de commande soit illustrée par-un seulbloc, on comprendra facilement que ce programme peut être structuré en diverses étapes. Par ailleurs, on notera que le programme de commande comporte fréquemment divers sous-programmes pour exécuter diverses opérations de commande. Cependant, cela n'est pas tellement en rapport avec le concept de la présente invention et pour la simplicité de l'explication ci-après, le programme de commande sera expliqué comme un seul bloc. Après exécution du programme de commande à l'étape 1008, la valeur du signal FCK est vérifiée à l'étape de décision 1010. Normalement, la valeur du signal FCK est 0. Quand la valeur du signal est 0, le programme retourne à l'étape 1008 pour répéter le programme de commande. Alors, si un signal d'interruption est introduit pendant l'exécu- tion du programme de commande, cette exécution est alors arrêtée et la commande passe à l'étape 1100. Alors, le programme de traitement d'interruption est exécuté. A l'étape 1102, le signal FCK est établi à 1. Ensuite, à l'étape 1104, la commande est ramenée à l'étape 1008 61 2460231 pour exécuter le programme de commande. Après exécution du programme de commande, dans l'étape de décision, le signal F K est vérifié et l'on décide si l'on doit intro- duire le programme de vérification. On notera que FCK indique si un signal d'interruption d'exécution du program- me de vérification a été introduit. Dans l'exemple représen- té, quand F K est 1, cela indique qu'un signal d'interrup- tion a été introduit. On comprendra de plus que le signal FCK est mémorisé à un bit spécifique, appelé bit enseigne. Au début de l'exécution du programme de vérification, d'abord le démarreur est vérifié pour voir s'il est en position fermée ou ouverte, à une étape de décision 1012. Si le commutateur est en position ouverte ou hors circuit, alors un commutateur de ralenti quL m la soupape d'&rangle- ment totalement à la position fermée,est vérifié à une étape de décision 1014. Quand le commutateur de ralenti est fermé, à une étape de traitement 1016, le signal FCK est remis à O et la commande est ramenée au programme de commande. La série des étapes 1012 à 1016 est prévue pour éviter un mauvais fonctionnement provoqué dans le système de commande par admission d'un signal d'interrup- tion produit par un mauvais fonctionnement du moyen de détection. En effet, quand le démarreur est en position ouverte et que le commutateur de ralenti est en position fermée, le véhicule peut être en décélération ou au ralenti, et ces conditions d'entraînement se produisent relativement fréquemment. Si, du fait d'un mauvais fonctionnement, le système de commande fait fonctionner le programme de vérification pendant le fonctionnement du véhicule, comme le programme de commande est par conséquent arrêté pendant une courte période, le moteur peut produire des ratés d'allumage, ou se comporter de façon erronée, et par conséquent, pour des raisons de sécurité, le conducteur peut retirer son pied de la pédale d'accélérateur. Par conséquent, il sera pratique de vérifier si le véhicule est en une position pour exécuter le programme de vérification, en vérifiant les positions du démarreur et du commutateur de ralenti. Bien que dans l'exemple représenté, quand on détecte létat du véhicule avec le démarreur ouvert et le commutateur de ralenti fermé, le programme d'interruption soit arrêté, et que la commande retourne au programme de commande pour commander la conduite du véhicule et le fonctionnement d'autres équipements de ce véhicule, il est possible de vérifier si la condition de conduite du véhicule permet l'exécution du programme de vérification d'autres façons. Par exemple, quand le démarreur du véhicule est ouvert et que son commutateur de ralenti est ouvert, position qui se trouve en conduite normale, le sous-programme d'interruption est arrêté et la commande retourne à une position exécutant le programme de commande. Comme une telle position des commutateurs indique un état de conduite normale du véhicule et qu'à ce moment, le programme de vérification ne doit pas être exécuté pour empêcher une erreur ou un arrêt du fonctionne- ment de commande du système d'entraînement du véhicule ou d'autres équipements i quand on détermine que le démarreur- est ouvert et que le commutateur de ralenti est également ouvert, le programme doit retourner de l'interruption. Pour éviter des mauvais fonctionnements, il y a certaines autres étapes de vérification dans le programme représenté, qui seront expliquées en détail. Quand à l'étape 1012 on décide que le démarreur est en position fermée, la position du commutateur de ralenti est vérifiée à l'étape 1018. Quand le commutateur de ralenti est ouvert, on vérifie le couple du moteur. A l'étape 1020, une vérification est faite pour savoir si le couple du moteur dépasse 3200 t/mn. Quand une décision est faite selon laquelle le couple du moteur dépasse 3200 t/mn à l'étape 1020, le signal FRAM, indiquant si le programme de vérification de la mémoire RAM a été exécuté, est vérifié à l'étape de décision 1022. Si la valeur du signal FRAM est 0, alors le programme de vérifi- cation de RAM est exécuté à l'étape 1024. La structure du programme de vérification de RAM est l'un des programmes précédents qui ont été illustrés en se référant aux figures 8 et 9. Pendant l'exécution du programme de vérifi- cation de RAM, la fonction de RAM,1'écriture de données et la lecture est vérifiée ainsi que la présence de bits en court-circuit avec des bits adjacents. Ensuite, le signal FRAM est incrémenté de 1 à l'étape 1026. Quand la valeur de FRAM est de 1 ce qui indique que le programme de vérification de RAM a été exécuté, quand le programme retourne à l'étape 1022, une décision pour retourner de l'interruption est effectuée à cette étape 1022 et la commande passe à l'étape 1010 o le programme de commande est exécuté. En effet, comme la vérification de RAM ne doit pas être répétée, quand le programme de vérification de RAM est exécuté, une plus ample exécution du programme de vérification de RAM est empêchée pour éviter une exécution inutilement longue du programme de vérification. A l'étape de décision 1028, le résultat d'exécution du programme de vérification de RAM àl'étape 1024 est vérifié. Le résultat de la vérification de RAM est indiqué par la valeur du bit enseigne FNG ' en effet si le bit FNG est 0, cela indique que la fonction de la RAM est correcte tandis que FNG égal à 1 indique que RAM fonctionne mal. Dans le programme représenté, on vérifie simplement si la fonction de RAM est correcte, c'est-à-dire si la valeur de FNG est O ou 1. Cependant, comme on l'a indiqué ci-dessus, il sera possible de vérifier également quelle sorte de problème se produit dans RAM ou quelle adresse est défectueuse si le résultat de la vérification de RAM est NG. Quand le signal FNG est 0, c'est-à-dire que le résultat de la vérification de RAM est OK, à l'étape 1030, un indicateur indiquant le résultat du programme de vérification se met hors circuit. On notera que, comme on l'a indiqué précédemment, divers indicateurs du véhicule peuvent être utilisés pour indiquer le résultat de vérification. Cependant, dans l'exemple représenté, un moyen visible d'alarme comme une diode photo-émettrice est prévu pour indiquer le résultat de 64 2460231 vérification afin de simplifier l'explication. Quand le résultat de la vérification de RAM est NG et qu'ainsi la valeur de FNG est 1, l'indicateur est mis en circuit à l'étape 1032. Ainsi, quand le résultat de vérification de RAM est NG, cela peut être indiqué par mise en circuit d'un indicateur. Par conséquent, dans une étape1034, le compteur N8 qui indique le nombre d'essais du programme de vérification et indique également l'ordre des sous- programmes, est établi à 0. Dans l'exemple représenté, la structure des sous-programmes d'une série d'étapes 1022 à 1034 est exécutée avant les autres sous-programmes. Comme la RAM contient des données à utiliser pour la vérification d'autres éléments du système de commande comme l'unité d'entrée, la ROM et l'unité de sortie, il sera préférable de vérifier la RAM d'abord. Cependant, on notera que l'ordre de vérification n'est pas spécifié pour débuter par la RAM et par conséquent l'exemple illustré doit être compris comme étant simplement un exemple pour illustrer la présente invention. Après établissement de la valeur du compteur N8 à 0, la commande retourne à l'étape 1008. A l'étape 1018, quand le commutateur de ralenti est en position fermée, alors le sous-programme de vérifi- cation de la mémoire ROM est exécuté. D'abord, dans une étape de décision 1036, le signal enseigne FROM qui indique si le programme de vérification de la ROM est déjà exécuté, est vérifié. Comme le signal FROM est remis à O à l'étape 1004, ce signal indique O au premier temps. Alors, le programme de vérification de la ROM est exécuté à une étape 1038. Bien que la figure 18A montre le programme de vérification de la ROM sous forme d'un seul bloc pour la simplification de l'explication, on comprendra que sont incorporées diverses étapes pour exécuter le programme de vérification de la ROM. En réalité, la vérification de la ROM est accomplie par l'un des programmes de vérification illustrés sur les figures 10, 11, 13 ou 14. Après exécution du programme de vérification de la ROM, le signal FROM est établi à 1 pour empêcher une exécution répétée du programme de vérification de la ROM dans le même but que ce que l'on a indiqué ci-dessus pour la vérification de la mémoire RAM, à l'étape 1040. A l'étape de décision 1042, le résultat de la vérification de la ROM est vérifié. Le résultat de la vérification de la ROM est contenu dans le bit enseigne FNG ainsi: si la fonction de la ROM est correcte, la valeur de FNG est O tandis que si la ROM est endommagée ou troublée, FNG a pour valeur 1. Si la fonction de la ROM est correcte et qu'ainsi la valeur de FNG est 0, l'indicateur est mis hors circuit à une étape 1044. Si la ROM est défectueuse et qu'ainsi la valeur de FNG est 1, l'indicateur est mis en circuit pour indiquer visuellement qu'il y a un défaut dans la ROM. Ensuite, à une étape de décision 1048, le compteur N8 est vérifié. Quand la valeur du compteur N8 est 0, il est incrémenté à 1 à l'étape 1050, tandis que si sa valeur est supérieure à 0, le programme retourne immédiatement à l'étape 1008. A l'étape 1020, quand le couple du moteur est inférieur à 3200 t/mn, un programme de vérification de l'unité d'entrée I est exécuté par un sousprogramme de vérification de l'unité d'entrée. Comme cela est apparent de la figure 18B, à la différence du sous-programme de vérification de la RAM et de la ROM, aucune étape n'est prévue pour vérifier si l'unité d'entrée a déjà été vérifiée par exécution du programme de vérification I. Cela a pour raison que, comme dans le cas de l'introduction d'une donnée d'entrée par un convertisseur analogique- numérique, par exemple, par partage dans le temps, quand plusieurs valeurs de données d'entrée sont introduites à l'unité d'entrée, il faut une période comparativement longue de temps et il peut être possible que certaines données soient introduites pendant ou après exécution du programme de vérification; ainsi, il est préfarable de vérifier de façon répétée l'unité d'entrée. On peut également voir, sur la figure 18, qu'il y a deux programmes différents de vérification de l'unité d'entrée; c'està-dire les programmes de vérification I et II. Ces programmes I etII sont prévus pour vérifier l'unité d'entrée deux fois en différentes conditions de conduite du véhicule. Le programme de vérification I est exécuté dans les conditions suivantes: démarreur fermé, commutateur de ralenti ouvert et couple du moteur inférieur à 3200 t/mn, c'est-à-dire véhicule au ralenti et le programme II est exécuté dans les conditions de conduite qui suivent: démarreur ouvert, commutateur de ralenti ouvert, c'est-à- dire que le véhicule est garé ou arrêté. Cependant, il n'est pas toujours nécessaire de vérifier deux fois l'unité d'entrée comme on l'a spécifié et il est bien entendu possible de la vérifier une fois dans une condition du véhicule adaptée à l'exécution du programme de vérification. L'étape 1052 peut comporter diverses étapes et le programme I peut être structuré comme cela est illustré sur la figure 6. Pendant l'exécution du programme de vérification de l'unité d'entrée, le signal enseigne FNG est établi à 0 quand la fonction de l'unité d'entrée est correcte et à 1 quand cette fonction est incorrecte et que l'unité est considérée comme étant défectueuse. Ensuite, le compteur N8 est vérifié à l'étape de décision 1054. La valeur du compteur N8 est incrémentée de 1 et devient ainsi de 2 à l'étape 1056. Ensuite, la valeur de FNG est vérifiée à l'étape de décision 1058. Si la valeur de FNG est 0 et que par conséquent on décide que la fonction de l'unité d'entrée est correcte, l'indicateur est mis hors circuit à l'étape 1062 tandis que si la valeur de FNG est 1, l'indicateur est mis en circuit à l'étape 1064. Alors, à l'étape de décision 1054, le compteur N8 est vérifié. Si la valeur du compteur N8 est 1, le compteur est incrémenté à 2 à l'étape 1056 tandis que si la valeur de la donnée N8 est 3, la valeur de FNG est vérifiée à l'étape 1060. Ensuite, le programme retourne à l'étape 1008 pour exécuter le programme de commande. A l'étape de décision 1054, quand le compteur N8 contient une valeur autre que 1 ou 3, le programme saute l'étape 1056 et passe à l'étape de décision 1058. Dans ce cas, comme on l'expliquera ci-après, la valeur du compteur N8 est 0, 1, 2 ou 3 à l'exemple représenté ainsi à ce moment la valeur de la donnée N8 doit être soit O ou 2. Quand la valeur de la donnée N8 est 0, cela signifie que l'une ou les deux mémoires RAM et ROM n'ont pas encore été vérifiées. Par conséquent, le résultat de la vérification par rapport à l'unité d'entrée n'est pas fiable. Quand la valeur de N8 est 2, cela indique immédiatement après vérification de l'unité d'entrée par le programme I de vérification d'entrée. Par conséquent, il est inutile de changer la valeur de la donnée N8. Ainsi, comme on l'a mentionné ci-dessus, à l'étape 1058, on décide si la fonction de l'unité d'entrée est correcte en vérifiant le signal enseigneFNG et si la valeur de FNG est 0, l'indicateur est mis hors circuit à l'étape 1062. Si la valeur de FNG est 1 et si l'on décide que l'unité d'entrée est défectueuse, l'indicateur est mis en circuit pour éclairer une lampe d'indication par exemple pour informer ou avetir du fait à l'étape de traitement 1064. Si à l'étape de décision 1054, on décide que le compte N8 est 3, la valeur de FNG est vérifiée pour savoir si elle est de 1 ou O à l'étape 1060. Si selon le résultat de la vérification, FNG est 0, c'est-à-dire que la fonction de l'unité d'entrée est correcte, l'indicateur est mis en circuit à l'étape 1064. Si la valeur de FNG est 1 à l'étape 1060, l'indicateur est hors circuit à l'étape 1062. Dans les deux cas, après exécution du travail, le programme retourne à l'étape 1008. On notera que les étapes de décision 1058 et 1060 qui sont toutes deux des étapes de vérification après accomplissement d'une opération de vérification pour savoir si la valeur du signal enseigne FNG est 0, ont d'autres fonctions lors du fonctionnement de l'indicateur. C'est comme si, quand les sous-programmes de vérification pour vérifier chaque élément du système sont exécutés dans un ordre donné et quand tous les éléments fonctionnent correctement, l'exécution du programme de vérification était terminée après exécution de la sous- routine ou du sous-programme de vérification de l'unité 68 2460231 d'entrée à la séquence des étapes 1054-1060-1062 ou 1064. En effet, dans l'exemple représenté, la vérification est accomplie dans l'ordre sous-programme vérification RAM- sous-programme vérification ROM-sous-programme I vérifica- tion unité d'entrée-sous-programme II vérification unité d'entrée-sous-programme I vérification unité d'entrée. Quand les fonctions de tous les éléments sont correctes, l'indicateur est maintenu hors circuit jusqu'au sous- programme de vérification finale de l'unité d'entrée. A l'étape de décision 1014, si l'on décide que le commutateur de ralenti-est en position ouverte, c'est-à- dire que le véhicule est à l'état normalement conduit, le programme de vérification II de l'unité d'entrée est exécuté à l'étape 1066. Comme on le comprendra facilement, le programme de vérification II peut contenir diverses étapes et accomplir la vérification des fonctions de l'unité d'entrée par rapport aux données reçues ayant des conditions différentes d'entrée par rapport aux données pour le programme de vérification I. Pendant l'exécution du programme II à l'étape 1066, la valeur du signal enseigne FNG est modifiée à O ou 1 selon le résultat de la vérifica- tion. La valeur de FNG est vérifiée à l'étape de décision 1068. Si la valeur de FNG est 0, l'indicateur est mis hors circuit à l'étape 1070 tandis que si cette valeur est 1, l'indicateur est mis en circuit à l'étape1076. Ensuite, le compteur N8 est vérifié à l'étape de décision 1072. Si la donnée N8 est 2, la valeur est augmentée de 1 par incrément et ainsi le compte N8 devient 3. Si la valeur de la donnée N8 est autre que 2, le programme retourne à l'étape 1008. On comprendra que le sous-programme II de vérifi- cation de l'unité d'entrée ayant la séquence des étapes 1066 à 1076 peut être remplacé par un sous-programme pour vérifier l'unité de sortie en remplaçant l'étape 1066 du programme II dans le programme de vérification de l'unité de sortie. Pour accomplir l'opération de vérification ci-dessus dans l'ordre donné, les données d'entrée sont agencées de façon qu'elles indiquent chaque condition de conduite du véhicule o les programmes de vérification sont exécutés dans l'ordre. Ainsi, l'indicateur fonctionne dans l'ordre donné, c'est-à-dire qu'il indique si chaque fonction est correcte dans l'ordre: RAM-ROM-unité d'entrée (vérifiée par programme I)-unité d'entrée (vérifiée par programme II) -unité 'd'entrée (vérifiée par programme I). Par ailleurs, il est possible de détecter des troubles ou dégâts provoqués dans l'indicateur lui-même ou le circuit de l'indicateur en observant le changement entre la marche et l'arrêt ou la fermeture et l'ouverture, car si l'indica- teur et son circuit sont corrects, l'ordre de l'allumage de l'indicateur correspond à l'ordre donné de vérification. Par ailleurs, il est également possible de détecter des défauts dans le circuit d'entrée par introduction de signaux pour exécuter les programmes de vérification par rapport aux signaux. Par exemple, si les circuits d'entrée sont défectueux, et maintiennent les signaux d'entrée à un état indiquant un démarreur fermé et un commutateur de ralenti fermé, seul le programme de vérification de la ROM est exécuté. Dans ce cas, si la fonction de la ROM est correcte, l'indicateur est maintenu hors circuit. A ce moment, le fonctionnement de l'indicateur est différent de la normale et peut indiquer le problème dans le circuit d'entrée, car l'indicateur fonctionne alternativement pendant l'exécution de la phase finale des programmes de vérification. Cependant, il est également possible d'indiquer le résultat de la vérification avec un certain nombre d'indicateurs recevant divers signaux de sortie pour indiquer le résultat par rapport à chaque élément ou avec un indicateur capable de faire varier le motif de sortie pour indiquer différents résultats de vérification par rapport à chaque élément, mais il est avantageux d'utiliser un indicateur et un seul motif de sortie pour la facilité de l'observation des résultats et le prix du système. On notera que, dans l'exemple illustré, après exécution du sous-programme de vérification de la RAM, la commande retourne à l'étape 1006 pour remettre toutes les valeurs des données à la condition initiale afin de vider les données mémorisées dans la RAM dans le but d'éviter des erreurs d'exécution du programme de commande du fait d'une lecture de telles données de vérification et d'une commande de fonctionnement sur la base de ces données. Par ailleurs, à ce moment, le programme retourne à la première étape 1002, le compteur N8 et FNG sont remis à 0, cela force le programme de vérification à retourner à la condition initiale afin de former une boucle sans passer à la phase suivante. Il est de plus préférable que les données pour décider quels programmes de vérification doivent être exécutés, soient introduites à l'unité CPU par l'unité d'entrée car pour l'exécution du programme de vérification, les données mémorisées dans la RAM peuvent être réécrites. Comme on l'a mentionné à l'exemple illustré sur la figure 18, un tel moyen pour l'introduction de signaux d'entrée vers le système de commande et ainsi pour l'exécution du programme de vérification peut être mis en oeuvre relativement simplement et en utilisant un tel moyen de vérification, le système de commande peut être facilement vérifié même après son assemblage. Le moyen sera installé dans une station-service ou monté dans un véhicule pour vérifier Facilement son système de commande. La présente invention illustrée ci-dessus peut offrir des avantages divers et considérables comme: les fonctions du système de commande peuvent être vérifiées même après assemblage ou montage sur le véhicule automobile, de plus on peut les vérifier dans le véhicule sans changer la condition de commande du véhicule; ladurée de l'exécution du programme de vérification peut être considérablement et remarquablement réduite; toutes les fonctions du système de commande peuvent être vérifiées parfaitement; comme, si on le souhaite, l'on peut obtenir une information concernant l'élément défectueux, le système selon l'invention est pratique pour chercher la partie défectueuse du système de commande, la réparer ou la remplacer et ainsi il aide à réduire le temps de l'opéra- tion de remplacement ou de réparation; comme il est posible de remplacer l'élément ou de faire passer le circuit qui est défectueux à des éléments ou circuits auxiliaires en réponse au résultat de la vérification, cela permet d'augmenter la durabilité du système de commande; comme le système de commande peut être facilement vérifié même quand le véhicule o il est monté roule, le véhicule peut être effectivement protégé de pannes ou accidents sérieux dus à des problèmes avec le système de commande; et la vérification peut être assez facilement accomplie dans un station-service ayant le moyen de vérification. Bien entendu, l'invention n'est nullement limitée au mode de réalisation décrit et représenté qui n'a été donné qu'à titre d'exemple. En particulier, elle comprend tous les moyens constituant des équivalents techniques des moyens décrits ainsi que leurs combinaisons si celles-ci sont exécutées suivant son esprit et mises en oeuvre dans le cadre de la protection comme revendiquée. IV 72 2460231 R E V E N D I C A T I O N S 1. Système de commande pour un véhicule automobile pour commander divers dispositifs du véhicule en réponse à divers signaux appliqués par des capteurs caractérisé en ce qu'il comprend: - un micio-calculateur comprenant une unité d'entrée une unité CPU, une unité de mémoire ayant une ou plusieurs mémoire ROM et/ou une mémoire RAM, o sont mémorisés des programmes de commande à exécuter en réponse auxdits signaux des capteurs pour commander lesdits dispositifs du véhicule, et une unité de sortie; et - un moyen de vérification dudit micoD-calzulateur comprenant un programme de vérification, ledit programme de vérification étant exécuté pour vérifier ladite unité d'entrée,ladite unité de mémoire et ladite unité de sorie, et étant capable d'être relié audit micro-calculateur et pouvant coopérer avec lui. 2. Sy!âtème selon la revendication 1, caractérisé en ce qu'il comprend de plus un programme de détection de condition de conduite pour exécuter le programme de vérification précité quand il détecte une condition de conduite du véhicule adaptéeà l'exécution dudit programme de vérification. 3. Système selon la revendication 1, caractérisé en ce qu'il comprend de plus un moyen de sortie pour émettre un résultat de l'exécution du programme de vérification précité par le moyen de vérification précité, ledit moyen de sortie coopérant avec ledit moyen de vérification et le micro-calculateur. 4. Système selon la revendication 1, caractérisé en ce qu'il comprend de plus un moyen d'alarme pour émettre un signal d'alarme quand la vérification a déterminé que les éléments vérifiés sont dans-l'erreur. 5. Système selon la revendication 1, caractérisé en ce que le programme de vérification précité comprend de plus un programme de sortie à exécuter quand le résultat dudit programme de vérification indique que l'élément qui est vérifié est dans l'erreur. 6. Système selon la revendication 1, caractérisé en ce qu'il comprend de plus au moins un élément auxiliaire pouvant remplacer un élément du microcalculateur précité quand ledit élément fonctionne mal; et un moyen pour commuter ledit élément fonctionnant mal dudit système de commande audit élément auxiliaire en réponse à la sortie du programme de vérification précité quand ladite sortie indique que ledit élément est dans l'erreur. 7. Système selon la revendication 1, caractérisé en ce qu'il comprend de plus un moyen pour produire un signal d'interruption et ence que le programme de commande précité est introduit dans la phase de fonctionnement de vérification en réponse audit signal d'interruption. 8. Système selon la revendication 1, caractérisé en ce qu'il comprend un moyen de discrimination pour reconnaître au moins une combinaison particulière de signaux reçus, le programme précité de vérification étant exécuté en réponse à la reconnaissance, par ledit moyen de discri- mination, de ladite combinaison de signaux reçus. 9. Système selon la revendication 1, caractérisé en ce qu'il comprend de plus un moyen pour exécuter un certain nombre de programmes dans un ordre donné dans l'unité CPU précitée; et un moyen pour vérifier si les programmes sont exécutés dans ledit ordre donné et changer la sortie en réponse au résultat de la vérification. 10. Système selon l'une quelconque des revendications précédentes, caractérisé en ce que le programme de vérifi- cation précité est mémorisé dans l'unité de mémoire précitée du micro-calculateur précité. 11. Système selon l'une quelconque des revendications 1 à 9, caractérisé en ce que le micro-calculateur précité est pourvu d'un moyen pour relier électriquement le moyen de vérification précité et ledit micri-calculateur afin de pouvoir relier de façon séparable ledit moyen de vérifica- lion audit micro-calculateur. 12. Système selon la revendication 10, caractérisé en ce que l'unité de mémoire précitée mémorisant le programme de vérification précité est une mémoire ROM. 13. Système selon la revendication 12, caractérisé en ce que la ROM précitée se compose de deux sections différentes, une première section mémorisant le programme de commandeprécité et une seconde section mémorisant le programme de vérification précité. 14. Système selon la revendication 13, caractérisé en ce que la seconde section précitée est séparée de la première et du micib-calpulateur précité,, et en ce que ladite seconde section est pourvue d'un moyen pour la relier amovible audit micro-calculateur. 15. Système selon la revendication 11, caractérisé en ce que le moyen précité pour relier le moyen de vérifica- tion précité au micro-calculateur précité est une douille à circuit imprimé. 16. Système selon la revendication 11, caractérisé en ce que le moyen précité pour relier le moyen de vérification précité au micro-calculateur. précité comprend une fiche et une douille. 17. Système selon la revendication 2, caractérisé en ce que le programme précité détectant la condition d'entra - nement exécute le programme de vérification précité quand les dispositifs des véhicules à contrôler sont en position inopérative. 18. Système selon la revendication 17, caractérisé en ce que le programme précité détectant la condition d'entrai- nement exécute le programme de vérification précité quand le moteur du véhicule est arrêté. 19. Système selon la revendication 18, caractérisé en ce que le programme précité détectant la condition d'entraînement exécute le programme de vérification précité quand le véhicule est stationnaire. 20. Système selon la revendication 18, caractérisé en ce que le programme de vérification précité est exécuté pour vérifier les dispositifs du véhicule quand les signaux détectés à l'entrée indiquent une condition anormale de conduite qui ne peut pas se produire pendant une conduite normale du véhicule. 21. Système selon la revendication 20, caractérisé en ce que la condition anormale précitée est un couple anormalement élevé du moteur. 22. Système selon la revendication 20, caractérisé en ce que la condition anormale précitée est une vitesse anormalement élevée du véhicule. 23. Système selon la revendication 20, caractérisé en ce que la condition anormale précitée est une température anormalement haute ou basse. 24. Système selon la revendication 20, caractérisé en ce que la condition anormale précitée comprend deux états différents d'un dispositif d'un véhicule, qui ne peuvent pas se produire simultanément. 25. Système selon la revendication 10, caractérisé en ce que le programme de commande précité et le programme de vérification précité sont exécutés en séquence. 26. Système selon la revendication 25, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend un programme pour vénifier l'unité d'entrée précitée en comparant des valeurs des données d'entrée qui en sont lues à des valeurs de données de référence correspondantes. 27. Système selon la revendication 26, caractérisé en ce que le programme de vérification précité est exécuté par rapport à deux valeurs de données reçues différentes en lisant lesdites valeurs de données reçues et en les comparant à des valeurs de données de référence correspon- dantes. 28. Système selon la revendication 26, caractérisé en ce que la première des valeurs de données de référence précitées se compose d'un motif de chiffres binaires répétés 0 et 1 et en ce que la seconde des valeurs de données de référence est le complément de la première. 29. Système selon la revendication 26, caractérisé en ce qu'un certain nombre de signaux d'entrée sont mémorisés à des adresses séquentielles de l'unité d'entrée précitée dans l'ordre et en sont lus pour être comparés à des valeurs de données de référence respectives corres- pondantes dans l'ordre. 30. Système selon la revendication 29, caractérisé en ce que les valeurs de données d'entrée précitées sont bloquées en groupesde valeurs ayant la même longueur,chaque bloc de données d'entrée étant mémorisé à des adresses séquentielles de l'unité d'entrée précitée. 31. Système selon la revendication 30, caractérisé en ce que l'unité de mémoire comprend une RAM et en ce que les valeurs des données d'entrée sont écrites à des adresses séquentlelles de ladite RAM et en sont lues pour être comparées aux données de référence précitées. 32. Système selon la revendication 31, caractérisé en ce que les valeurs des données de référence précitées comprennent des paires complémentaires de valeurs de données. 33. Système selon la revendication 10, caractérisé en ce que l'unité de mémoire précitée comprend une RAM et en ce que le programme de vérification précité mémorisé dans le moyen de vérification précité comporte un programme pour vérifier ladite RAM en y écrivant des valeurs de données et en lisant les valeurs de données pour une comparaison avec les valeurs de données qui y sont écrites. 34. Système selon la revendication 33, caractérisé en ce que le programme précité de vérification de la RAM est exécuté pour comparer les données d'entrée écrites dans ladite RAM et les données qui en sont lues, et de plus pour comparer des données complémentaires desdites données d'entrée et lues. 35. Système selon la revendication 33, caractérisé en ce que les valeurs de données écrites dans la RAM précitée et qui en sont lues comprennent des pires de valeurs complémentaires. 36. Système selon la revendication 33, caractérisé en ce que le programme de vérification de la RAM comprend une étape pour former un délai entre l'écriture de la donnée et sa lecture pour une comparaison avec la donnée d'entrée. 37. Système selon la revendication 35, caractérisé en ce que le programme de vérification de la RAM précitée comprend une étape d'écriture séquentielle d'un certain nombre de valeurs de données reçues afin de former un retard de données entre l'écriture des données reçues et la lecture des données écrites. 38. Système selon la revendication 10, caractérisé en ce que le programme de vérification précité mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée en lisant les données mémorisées dans ladite ROM et en les comparant à des données de référence correspondantes. 39. Système selon la revendication 10, caractérisé en ce que le programme de vérification précité mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée en lisant toutes les données de ladite ROM, en formant la somme des données lues et en vérifiant la somme en se référant à une somme précédemment calculée des valeurs de données mémorisées dans ladite ROM. 40. Système selon la revendication 39, caractérisé en ce que la vérification de la somme en se référant à la somme précédemment calculée est accomplie en comparant des colonnes correspondantes et données de ladite somme et de ladite somme précédemment calculée qui lui correspond, lesdites colonnes données étant déterminées selon des colonnes de chaque donnée individuelle. 41. Système selon la revendication 39, caractérisé en ce que la donnée mémorisée dans la ROM précitée comprend une valeur de donnée pour ajuster sa somme à une valeur donnée. 42. Système selon la revendication 39, caractérisé en ce que la somme de données mémorisées est une somme arithmé- tique. 43. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend'un programme pour vérifier la ROM précitée en calculant une somme logique exclusive de toutes les valeurs des données mémorisées dans ladite ROM et en comparant ladite somme à une valeur donnée. 44. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée en calculant une somme logique exclusive de valeurs de données et en comparant ladite somme à une donnée ayant une valeur correspondant à la somme correcte. 45. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée en calculant une somme logique exclusive de bit correspondant de chaque octet de données mémorisées dans ladite ROM et en comparant ladite somme à une valeur correspondant à la somme correcte. 46. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée en calculant une somme logique exclusive de bitsde données, dont chacun est décalé d'un bit par rapport à la donnée de l'adresse adjacente précédente, et en comparant ladite somme à une valeur de donnée correspondant à la somme correcte. 47. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend un programme pour vérifier la ROM précitée au moyen de la séparation des données mémorisées dans ladite ROM en un certain nombre de blocs, en calculant une somme logique exclusive de données dans chaque bloc et en comparant ladite somme à une valeur correspondant à la somme correcte. 48. Système selon la revendication 33, caractérisé en ce que le programme de vérification précité pour vérifier la RAM précitée est exécuté par rapport à une gamme donnée d'adressesde ladite RAM0 49. Système selon la revendication 48, caractérisé en ce que la gamme d'adresses comprend des adresses mémori- sant des données pour l'exécution de programmes et des adresses adjacentes auxdites adresses mémorisant des données. 50. Système selon l'une quelconque des revendications 38, 39, 44, 45, 46 ou 47 caractérisé en ce que le programme de vérification de la ROM précitégest exécuté par rapport à une gamme donnée d'adresses de ladite ROM. 51. Système selon la revendication 50, caractérisé en ce que ladite gamme donnée est représentée par les adresses mémorisant des données pour le programme de commande. 52. Système selon la revendication 10, caractérisé en ce que le programme de vérification mémorisé dans le moyen de vérification précité comprend une étape pour établir les données pour vérifier l'unité de sortie pendant l'exécution dudit programme de vérification. 53. Système selon la revendication 10, caractérisé en ce que l'unité de sortie précitée est reliée à l'unité d'entrée précitée et en ce que les signaux à la sortie de ladite unité de sortie sont introduits à ladite unité d'entrée et en sont lus pour être comparés à des valeurs de données de référence correspondantes. 54. Système selon la revendication 53, caractérisé en ce qu'un moyen de conversion de signaux et une unité formant canal à multiplexeur sont interposés entre les unités d'entrée et de sortie précitées. 55. Système selon la revendication 10, caractérisé en ce que les données d'entrée du programme de commande précité sont fournies par exécution du programme de vérifica- tion précité. 56. Système selon la revendication 3, caractérisé en ce que l'unité de sortie dudit système est utilisée comme moyen de sortie pour l'émission du résultat du programme de vérification précité. 57. Système selon la revendication 56, caractérisé en ce que les circuits de sortie de l'unité de sortie précitée sont utilisés en commun pour l'émission des résultats de vérification du système de commande et comme circuits de sortie pour un indicateur. 58. Système selon la revendication 56, caractérisé en ce que les circuits de sortie de l'unité de sortie précitée sont utilisés en commun pour l'émission de résultats de vérification du système de commande et comme circuiis de sortie pour un moyen d'alarme. 59. Système selon la revendication 57, caractérisé en ce que les résultats de l'exécution du programme de vzrification précité sont émis en une période sensiblement courte de temps. 60. Système selon la revendication 58, caractérisé en ce que chaque signal de sortie par suite de l'exécution du programme de vérification précité contient une information se rapportant à l'élément qui est vérifié et aux données mémorisées dans ledit élément, ainsi qu'une information selon que la fonction dudit élément est correcte. 61. Système selon la revendication 59, caractérisé en ce que chaque signal-de sortie précité contient une ou plusieurs valeurs numériques dont chacune correspond à un article de l'information de l'élément vérifié précité. 62. Système selon la revendication 59, caractérisé en ce que chaque signal de sortie précité contient une information se rapportant à l'élément qui est vérifié, ladite information comprenant l'adresse dudit élément. 63. Système selon la revendication 56, caractérisé en ce que les résultats précités à émettre des moyens de sortie précités sont lus de la ROM précitée. 64. Système selon l'une quelconque des revendications 56 ou 63, caractérisé en ce que la donnée émise par suite de la vérification est une valeur d'adresse d'un élément qui est vérifié par le programme de vérification précité, ladite valeur d'adresse étant mémorisée dans la ROM précitée. 65. Système selon la revendication 63, caractérisé- 246023 1 en ce qu'il est pourvu d'un certain nombre de moyens de sortie, l'un desdits moyens de sortie correspondant à chaque bit d'une valeur de donnée à émettre. 66. Système selon la revendication 63, caractérisé en ce que le moyen de sortie précité est pourvu d'un convertisseur pour convertir un signal numérique en un signal à impulsions codées et d'un circuit de sortie dudit signal. 67. Système selon la revendication 66, caractérisé en ce que le convertisseur précité est un adapteur à appliquer audit système et au moyen de vérification précité. 68. Système selon l'une quelconque des revendications ou 66, caractérisé en ce que la conversion numérique à impulsions codéesest faite par un programme qui est incorporé dans le programme de vérification précité. 69. Système selon la revendication 63, caractérisé en ce que le moyen de sortie précité comprend un signal d'horloge à appliquer, en commun, au programme de commande précité. 70. Système selon la revendication 10, caractérisé en ce qu'après l'exécution du programme de vérification de la RAM précitée, la commande retourne à une étape d'initialisation du programme de commande précité. 71. Système selon la revendication 37, caractérisé en ce que le programme de vérification précité est exécuté pour vérifier la fonction de la RAM précitée, ladite RAM étant séparée en un certain nombre de blocs et ledit programme de vérification étant exécuté par rapport à chaque bloc. 72. Système selon la revendication 71, caractérisé en ce queles données mémorisées dans un bloc de la RAM précite sont remémorisées dans un autre bloc, quand le premier est vérifié par le programme de vérification précité, afin d'empêcher les données d'être réécrites pendant l'exécution dudit programme. 73. Système selon la revendication 72, caractérisé en ce que les données d'entrée pour l'exécution du programme de vérification de la RAM précitée sont introduites à l'unité CPU précitée par l'unité d'entrée précitée. 74. Système de commande pour un véhicule automobile afin de commander divers dispositifs du véhicule en réponse à des signaux appliqués à des capteurs caractérisé en ce qu'il comprend en combinaison; un microcalculateur o est mémorisé un programme contenant une unité d'entée, une unité de sortie, une unité CPU, et une unité de mémoire ayant au moins une mémoire ROM et une mémoire RAM o sont mémorisés des programme de commande à exécuter par ladite unité CPU pour commander les divers dispositifs du véhicule; un moyen de vérification dudit micro-caloulateur ayant un moyen de mémoire o sont mémorisés des programmes de vérification à exécuter pour vérifier ladite unité d'entrée, ladite unité de mémoire et ladite unité de sortie, ledit moyen de mémoire mémorisant de plus un programme pour détecter la condition de conduite du véhicule et produisant ltexécu- tion dudit programme de. vérification quand il détecte une condition de conduite du véhicule adaptée à l'exécution du programme de vérification; un moyen pour émettre un résultat d'exécution dudit programme de vérification par ledit moyen de vérification, ledit moyen d'émission coopérant avec ledit moyen de vérification et ledit micro-calculateur; un moyen pour produire des signaux d'interruption pendant l'exécution dudit programme de commande afin d'entrer en phase de traitement de programme de vérification d'interruption de ladite unité CPU en réponse audit signal d'interruption; et un moyen pour forcer ladite unité CPU à exécuter un certain nombre du programmes dans un ordre donné *et pour vérifier si lesdits programmes sont exécutés dans ledit ordre donné afin de changer les résultats de sortie de vérification dudit moyen de vérification en réponse aux résultats de vérification. 75. Système selon la revendication 74, caractérisé en ce que le moyen précité d'émission d"un résultat de vérification comprend un moyen pour émettre des signaux d'alarme quand le résultat de la vérification détermine qu'un élément vérifié est dans l'erreur. 76. Système selon la revendication 74, caractérisé en ce que le moyen précité d'émission d'un résultat de vérification comprend un programme de sortie à exécuter quand ledit résultat de vérification détermine qu'un élément vérifié est dans l'erreur. 77. Système selon la revendication 74, caractérisé en ce que la ROM précitée est divisée en une première section et une seconde section, ladite seconde section étant séparée de la première et du microcalculateur précité, ladite seconde section étant pourvue d'un moyen pour la relier amovible audit micro-calculateur. 78. Procédé, dans un système de commande d'un véhicule automobile pour commander divers dispositifs du véhicule en réponse à des signaux appliqués par des capteurs, ledit système ayant un micro-calculateur o est mémorisé un programme comprenant une unité d'entrée, une unité CPU, une unité de mémoire ayant une ou plusieurs mémoires ROM et une mémoire RAM o sont mémorisés des programmes de commande, et une unité de sortie, por vérifier ladite unité d'entrée, ladite unité de mémoire et ladite unité de sortie caractérisé en ce qu'il comprend en combinaison: une première étape de traitement des données d'entrée appliquées par lesdits capteurs détectant et mesurant divers paramètres de conduite du véhicule et déterminant si la condition de conduite du véhicule est adaptée à vérifier lesdits éléments dudit micro-calculateur, et produisant un signal d'instruction pour l'exécution d'un programme de vérification quand la condition de conduite du véhicule est adptée à vérifier lesdits éléments du micro-calculateur; une seconde étape d'introduction et d'écriture de données de vérification; une troisième étape de lecture desdites données de vérification et de comparaison de ces données à des données de référence correspondantes précédemment mémorisées; et une quatrième étape de production d'un signal comprenant une donnée d'un résultat de vérification, et l'émission dudit signal. 79. Procédé selon la revendication 78, caractérisé en ce que la vérification des éléments précités du micro- calculateur précité est effectué par un moyen de vérifica- tion comprenant des programmes de vérification qui y sont mémorisés. 80. Procédé selon la revendication 79, caractérisé en ce que le programme de vérification précité est exécuté quand le moyen d'entraînement du véhicule est sensiblement stationnaire ou que le véhicule est sensiblement stationnaire. 81. Procédé selon la revendication 78, caractérisé en ce que le programme de vérification précité comporte divers sous-programmes comme sous-programmoe d'interruption, dont chacun est exécuté pour vérifier un élément du micro-calculateur précité, et en ce que les signaux d'entrée appliqués par les capteurs précités détectant et mesurant divers paramètres de conduite du véhicule sont adaptés à agir comme signaux d'interruption pour exécuter le programme de vérification. 82. Procédé selon la revendication 78, caractérisé en ce que les données de vérification précitées se composent d'une série de 0 et 1 binaire-salternant. 83. Procédé selon la revendication 78, caractérisé en ce que les données de vérification comprennent à la fois une série de 1 binaireset une série de 0 binaires 84. Procédé selon l'une quelconque des revendications 82 ou 83 caractérisé en ce que les données de référencepréci- tées sont sensiblement identiques aux données correspondantes de vérification. 85. Procédé selon la revendication 78, caractérisé en ce qu'à la quatrième étape précitée est produit le signal de sortie précité qui contient une donnée en rapport avec l'adresse vérifiée de l'élément du micro-calculateur précité, ledit signal de sortie étant produit et émis quaid l'adresse vérifiée est erronée.