FR 2606897 A1 19880520 FR 8713905 A 19871008 Procédé et dispositif pour surveiller les organes de réglage commandés par un calculateur, comme par exemple des systèmes anti-blocage, des poches d'air ou des tendeurs de ceintures ou analogues. " L'invention concerne un procédé pour surveiller des organes de réglage commandés par un caleulateur notamment des installations de sécurité de véhicules motorisés (comme par exemple des systèmes anti-blocage, des poches d'air ou des tendeurs de cein- ture) et se composant d'un calculateur de procédé ainsi que d'un organe de réglage électronique commandé par ce calculateur. Les organes de réglage sont utili- sés dans tous les domaines de la technique de commande et de régulation. Pour surveiller les fonctions, on utilisait habituellement jusqu'à présent des capteurs de signaux optiques ou acoustiques ainsi que des appa- reils d'affichage analogiques ayant des plages de dan- ger marquees de manière particulière. Pour des opérations de commande et de régulation de plus en plus compliquées et de plus en plus rapides, on utilise de plus en plus des calcu- lateurs de procédé pour commander les organes de réglage. Ceux-ci sont le mieux en mesure de traiter les quantités importantes de données dont dérivent les grandeurs de réglage. Comme de tels calculateurs peuvent subir éga- lement en fonctionnement normal, des parasites exté- rieurs tels que des parasites de transmission provenant 2. d'émetteurs, des décharges électriques ou des impulsions de commutation des réseaux électriques, il est nécessai- re de surveiller le fonctionnement. Précisément dans le cas d'installa- tions concernant la -sécurité, les mesures connues de surveillance des fonctions ne sont pas suffisantes. Cela est particulièrement clair par exemple dans le cas de systèmes de retenue passifs comportant des coussins à air ou gaz gonflables pour des véhicules à moteur. De tels systèmes de retenu ont pour but de protéger les occupants d'un véhicule contre les blessures lorsque le véhicule entre en collision avec un obstacle, blessures qui peuvent être provoquées par le choc du corps sur les parties de l'habitacle du véhicule. Pour cela, peu après le choc du véhicule, des coussins à gaz gonflés par des cartouches à gaz allu- mées électriquement se déploient entre les passagers et les parties de l'habitacle. Dans de tels systèmes de retenu, des calculateurs de procédé saisissent en continu les grandeurs de décélération et d'accélération du véhicule. En cas de choc du véhicule sur un obstacle, ces gran- deurs parcourent une courbe ayant des valeurs minimales et des valeurs maximales (courbe d'accident). Le point de déclenchement du système de retenu doit se faire à un instant précis déterminé par des essais préalables. En contrepoint de cette mise en oeuvre efficace du sys- tème de retenue, la protection certaine contre tout déclenchement intempestif présente le même intérêt. En effet, boucher la vue du conducteur ou l'effrayer pour- rait entraîner des conséquences très graves. Les moyens de surveillance utili- sés jusqu'à présent ne sont pas en mesure d'éviter un déclenchement intempestif. Au même moment auquel o un incident se produirait sous la forme d'un déclenchement intempestif, les cartouches à gaz seraient déjà allu- mées de manière irréversible et la phase de gonflage ne pourrait plus être arretee. Dans d'autres domaines également qui ne se situent pas dans le domaine relatif à la secu- rité comme par exemple dans le cas de machines-outils à commande par calculateur, des incidents du type ci- dessus pourraient provoquer des dommages considérables. La présente invention a pour but de créer un procédé de surveillance d'organes de réglage commandés par calculateur, permettant de déceler des incidents suffisamment avant l'émission des ordres de réglage pour éviter ainsi des ordres de réglage erronés. A cet effet, l'invention concerne un procédé de surveillance d'organes de réglage à com- mande par calculateur du type ci-dessus, caractérise en ce qu'à la sortie du calculateur, on prend des échantillons d'un signal de commande prévu pour comman- der l'organe de réglage et on applique ces échantillons à un circuit d'exploitation, on compare les échantillons de signaux, en continu dans des intervalles de temps prédéterminés aux grandeurs de consigne et en cas de dé- viation, on corrige le signal de sortie du calculateur et en ce que le signal de commande prévu pour la com- mande n'est transmis à l'organe de réglage qu'en cas de coincidence entre les échantillons de signaux et les grandeurs de consigne. Par la comparaison permanente des échantillons de signaux et des grandeurs de consi- gne, l'information de véracité des évènements détermi- nes par le calculateur de procédé à partir des donnees traitées est actualisée en permanence. De cette ma- niere, on peut corriger les évènements ou supprimer des signaux de commande erronés par des événements faussés, et cela le plus tôt possible. L'organe de réglage et le signal de commande généré par le calculateur de procédé à partir des évènements des données traitées n'assurent pas la commande de manière immédiate. Au contraire, on attend le résultat de la vérification. Une fois le contrôle terminé, on décide si une correction est né- cessaire ou si le signal de commande doit être utilisé de manière inchangée pour commander l'organe de réglage. Dans le premier cas, le signal de commande n'est pas utilisé pour commander l'organe de réglage et au lieu de cela on attend un autre cycle de calcul. Dans le second cas, la commande de l'organe de réglage se fait immédiatement après la décision. Dans l'hypothèse o lors de la vérification des signaux d'échantillons, on constate des différences par rapport aux grandeurs de consigne, ce procédé permet une protection certaine contre des ordres de réglage erronés. Dans le cas d'ordres de commande corrects, on a certes une commande retardée de l'organe de réglage mais du fait de l'information actualisée en permanence quant à la véracité des évènements du cal- culateur de procédé, le retard n'est que très faible et peut être dimensionné de façon telle par des moyens réalisés sous forme de circuits ou de programmes pour que le fonctionnement d'une installation ainsi équipée d'un organe de réglage commandé par un calculateur ne soit pas influencé. La fiabilité de la vérification par la comparaison des échantillons de signaux du signal de commande prévu et des grandeurs de consigne dépend du type de grandeurs de consigne obtenues. On obtient la plus grande fiabi- lité si l'ensemble du traitement des données fait dans le calculateur de procédé est complété dans un second calculateur. La probabilité que des incidents extérieurs aboutissent ici aux mêmes erreurs qui se compensent réciproquement, ultérieurement est extrêmement faible. De plus, on peut déterminer immédiatement des différen- ces et le temps de la temporisation de la commande des organes de réglage est très faible. Le contrôle des échantillons de signaux avec des grandeurs de consigne sur la base d'évènements intermédiaires demande moins de moyens. Toutefois les intervalles de temps entre les cycles de vérification sont plus longs, de sorte que la tempori- sation de la commande des organes de réglage est plus grande. Le contrôle des échantillons de signaux à l'aide de grandeurs de contrôle également traitées, sur la base de la plausibilité utilisant les signaux statistiques est le moyen le plus simple. Si le temps d'un cycle de calcul du calculateur de procédé, dans lequel on détermine un évenement respectif à partir des données disponibles, est faible par rapport à une durée de temporisation maximale autorisée pour la commande de l'organe de réglage, la vérification peut se limiter au résultat final et être répétée au cours de chaque cycle de cal- cul. Suivant un développement du procédé de l'invention, le signal de commande prévu pour comman- der l'organe de réglage est mis en mémoire de manière intermédiaire et à la fin de l'intervalle de temps de contrôle et de correction, en cas de coincidence entre les échantillons de signaux et les grandeurs de consi- gne, ce signal de commande est transmis à l'organe de réglage. De telles étapes de procédé permettent de commander de manière quelconque la durée de la tempori- sation. Cela permet également d'adapter des temps de 6. contr6le et de correction de longueurs différentes d'un cas à l'autre et de se limiter ainsi chaque fois à la durée la plus courte possible. Indépendamment de la durée choisie, les signaux de commande sont inchangés. Suivant une première variante des étapes de procédé ci-dessus, les signaux de commande prévus pour commander l'organe de réglage sont transmis à l'organe de réglage après une durée prolongée au moins de la durée de l'intervalle de temps de contr6le et de correction et en cas de différence entre les échantillons de signaux et les grandeurs de consigne, le signal de commande est supprimé sans délai. Cette alternative offre également la possibilité de retarder les signaux de commande, de manière inchangée et avec une très grande précision. Vis-à-vis des étapes de procédé connues, ce mode de réalisation utilise un nombre moindre d'ordres. Suivant une seconde variante, on génère un premier signal de commande sous la forme d'un saut de potentiel. Ce signal est intégré et l'intégrale est comparée en continu à une grandeur de référence. Lorsqu'on atteint la grandeur de référence, on génère un second signal de commande sous la forme d'un saut de potentiel qui est transmis directement à l'organe de réglage. Pour supprimer le second signal de commande, on annule le saut de potentiel du premier signal de commande avant que son intégrale n'ait atteint sa va- leur de référence. Ces étapes de procédé se réalisent avec des moyens réduits en circuit. Dans le cas de durées de temporisation courtes, suffisantes étant don- né les vitesses de calcul élevées des calculateurs de procédé habituels, on respecte de manière suffisamment précise une durée de temporisation prédéterminée. Par rapport aux alternatives mentionnées, ce procédé suffit 260689? 7. sans lignes de commande pour influencer le circuit de temporisation. Il suffit bien plus d'annuler suffisam- ment le saut de potentiel du premier signal de comman- de. Sur le plan de la fiabilité des calculateurs de procédé, le nombre de données de lignes de commande est maintenu aussi réduit que possible. Cette réalisa- tion est particulièrement insensible vis-à-vis des parasites. L'invention concerne en outre un circuit de contrôle d'organes de commande commandés par calculateur en particulier destinés à des installa- tions de sécurité de véhicules motorisés (comme par exemple des systèmes anti-blocage, des poches à air ou des tendeurs de ceinture) se composant d'un calculateur de procédé et d'un organe de réglage électronique com- mandé par ce calculateur. A cet effet, le problème consiste à créer un circuit de surveillance d'organes de réglage commandés par calculateur, permettant de reconnaître des incidents. suffisamment à temps avant l'émission des ordres de réglage pour éviter ainsi des ordres de réglage erronés. A cet effet, l'invention concerne un circuit du type ci-dessus, caractérisé en ce qu'il comporte un circuit d'exploitation relié à la sortie du calculateur, circuit d'exploitation qui se compose d'un générateur de valeurs de consigne, d'un comparateur commandé par le générateur de valeurs de consigne et par le calculateur de procédé ainsi qu'un générateur de signal de commutation commandé par le comparateur, un circuit de temporisation étant prévu entre la sortie du calculateur et l'entrée de commande de l'organe de réglage, et une sortie du circuit d'exploitation est reliée a une entrée de commande de correction du calcu- lateur et/ou d'une entrée de libération et/ou de remise 260689? à l'état initial du circuit de temporisation. Le circuit d'exploitation sert à comparer en continu les échantillons de signaux du signal de commande prédéterminé et les grandeurs de con- signe. Pour cela, le circuit d'exploitation comporte un comparateur qui reçoit à la fois les échantillons de signaux à la sortie du calculateur et les grandeurs de consigne d'un générateur de valeurs de consigne. Le générateur de valeurs de consigne peut recevoir ces grandeurs de consigne à partir des mêmes données que celles dont dispose le calculateur de procédé ou encore des résultats intermédiaires ou des relations de plau- sibilité prédéterminées. En cas de différence entre les échantillons de signaux et les grandeurs de consigne, on met en oeuvre un générateur de signal de commutation qui génère à la sortie du circuit d'exploitation un signal de correction et/ou un signal de libération ou de remise à l'état initial. Ces signaux arrivent au cal- culateur de procédé et le cas echéant à un circuit de temporisation. Ce circuit de temporisation entre la sortie du calculateur de procédé et l'entrée de l'or- gane de réglage a pour but de n'appliquer les signaux de commande à l'entrée de l'organe de réglage que s'il est établi que le circuit d'exploitation a déterminé une coïncidence entre les échantillons des signaux et les grandeurs de consigne (coincidence). Le circuit selon l'invention réunit la garantie que l'on évite en toute certitude des ordres de réglage erronés avec une temporisation aussi réduite que possible des signaux, car il est possible du fait de l'actualisation continue des informations de corri- ger la véracité des résultats par le calculateur à l'instant le plus tôt possible et d'éviter ainsi des réserves de temps inutiles. Selon un développement du circuit selon l'invention, le circuit de temporisation est une mémoire vive et la sortie du circuit d'exploitation est reliée à l'entrée de commande de correction du calcula- teur et à l'entrée de libération et de remise à l'état initial de la mémoire. Cela permet une commande quelcon- que de la durée de la temporisation. Celle-ci peut ainsi s'adapter à des durées de contrôle et de correc- tion différentes d'un cas à l'autre. De plus, les si- gnaux de commande ne sont pas faussés. Selon une première variante du circuit mentionné ci-dessus, le circuit de temporisa- tion est un registre à décalage et la sortie du circuit d'exploitation est reliée à l'entrée de commande de cor- rection du calculateur et à l'entrée de remise a l'état initial du registre à décalage. Dans ce cas également, les signaux de commande ne sont pas fausses. Les durées de tempori- sation peuvent être respectées de manière très precise par une commande de cadence exacte. Grâce à des divi- seurs de fréquence, en amont, on peut également réaliser des modifications échelonnées de la durée de temporisa- tion. De plus, il est possible de commanderde ïanière simple, car on peut supprimer la ligne de commande de libération. Selon une seconde variante, le circuit de temporisation est une ligne à retard et la sortie du circuit d'exploitation est reliée à l'entrée de commande de correction du calculateur et à l'entrée de remise à l'état initial de la ligne de retard. Dans ce cas également pour des durées de temporisation courtes, les signaux de comman- de ne sont pratiquement faussés. On peut également avoir des temporisations très précises. Toutefois, la possi- bilité de commander le temps de temporisation ne se fait pas sans moyens supplémentaires. Dans ce cas éga- lement, on simplifie la commande, car on peut suppri- mer la ligne de commande de libération. La ligne de remise à l'état initial, nécessaire sert à supprimer par un ordre de commande, un signal de commande non souhaité et qui est arrivé à l'extrémité de la ligne de temporisation; pour cela, on ouvre par exemple un commutateur entre la sortie de la ligne de temporisa- tion et l'entrée de l'organe de réglage. Enfin selon une troisième variante du mode de réalisation du circuit selon l'invention, le circuit de temporisation se compose d'un générateur de valeurs de consigne, d'un intégrateur et d'un compa- rateur relié au générateur de valeurs de consigne et à l'intégrateur et la sortie du circuit d'exploitation est reliée à l'entrée de commande de correction du cal- culateur. Les moyens en circuit nécessaires sont également très faibles dans ce cas. De ce fait, l'encombrement nécessaire est faible, ce qui peut être un critère important pour des applications déterminées. Etant donné le faible nombre de composants nécessaires, le risque de défaillance globale est faible. Cela con- vie-nt particulièrement bien pour des organes de réglage commandés par calculateur et correspondant à des ins- tallations nécessaires à la sécurité. Pour de faibles durées de tempori- sation telles que celles suffisantes au calculateur de procédé, habituel, la variante offre une précision suffisante de la temporisation. Cela découle des cons- tantes de temps de l'élément différentiateur en liai- son avec la valeur de consigne et le niveau du signal de commande prévu. Un avantage particulier réside dans le fait qu'il est inutile d'avoir une ligne de commande particulière du circuit d'exploitation. Il suffit bien plus de couper le signal de commande ou de le supprimer avant que l'intégrale du signal de commande n'ait atteint la valeur de consigne du générateur de valeurs de consi- gne. De manière préférentielle, le générateur de valeurs de consigne est un diviseur de tension branché entre une source de tension de référence et un potentiel de référence, source formée de deux ré- sistances, d'un intégrateur formé d'une résistance et d'un condensateur en série entre la sortie du circuit de temporisation et le filtre passe-bas relié à une en- trée du comparateur, le condensateur étant relié à une borne de la source de tension de référence. Le compara- teur est de préférence un amplificateur opérationnel dont l'entrée non inversée est reliée au filtre passe- bas et dont l'entrée inversée est reliée à la prise du diviseur de tension. La réalisation du générateur de valeurs de consigne offre la possibilité d'utiliser des sources de tension de référence existantes. L'inté- grateur permet d'utiliser la plage la plus pentue de la courbe de tension fournie comme réponse à une varia- tion de niveau, pour la comparaison entre la grandeur de consigne et la grandeur réelle. De cette manière, on peut régler une durée de temporisation suffisamment précise. La réalisation du comparateur com- me amplificateur opérationnel permet d'avoir une faible charge pour les éléments de commutation extérieurs tout en ayant une amplification élevée. De plus, on peut avoir un second signal de commande non équivoque dès que l'intégrale du premier signal de commande atteint la grandeur de consigne. Selon un mode de réalisation pra- tique, le comparateur présente une sortie de collecteur ouvert (montage à collecteur ouvert). Ce mode de réalisation crée des conditions avantageuses pour la possibilité de couplage du second circuit de temporisation sur un organe de ré- glage en aval. A l'état;avant d'atteindre le seuil de commutation, c'est-à-dire aussi longtemps que l'inté- grale du premier signal de commande n'a pas encore atteint la valeur de consigne, le potentiel de la sortie du circuit de temporisation peut prendre la valeur du potentiel de repos de l'entrée en aval. Cela garantit que l'organe de réglage en aval ne soit pas mis à une valeur intermédiaire indéfinie, ce qui nécessiterait des moyens supplémentaires pour éviter cette situation. Selon un mode de réalisation pra- tique, le comparateur présente un moyen de réaction par l'intermédiaire d'un élément de différentiation. Ce moyen garantit que le compara- teur commute complètement après dépassement du seuil de commutation et fournisse ainsi un second signal de com- mande sans équivoque pour l'organe de réglage en aval. Cela permet d'éviter un mouvement de commutation dans les deux sens analogue au rebondissement d'un contact. De manière préférentielle, le différentiateur comporte un condensateur branché entre la sortie et l'entrée non inversée du comparateur et une résistance entre l'entrée non inversée et la source de tension de référence. De cette manière, le second signal de commande commande encore suffisamment longtemps l'en- trée de commande de l'organe de réglage si entre temps par exemple des parties du calculateur de procédé sont tombées en panne comme cela peut se produire dans l'exem- ple d'application du système de retenu passif lors du choc du véhicule sur un obstacle. 1.3 Dans une réalisation pratique, l'organe de réglage est un montage en émetteur commun combiné à un étage d'entraînement complémentaire. L'organe de réglage est dans ce cas prévu pour commander les charges faiblement ohmi- ques. La commande en liaison avec l'étage d'entraîne- ment n'utilise ainsi que des moyens réduits en circuit, ce qui se répercute à son tour de manière avantageuse sur l'encombrement et la fiabilité. La présente invention sera décrite de manière plus détaillée à l'aide d'autres développe- ments et réalisations avantageux de l'invention décrite * dans la description suivante se rapportant aux dessins annexés, dans lesquels: - la figure 1 est un schéma-bloc d'un organe de réglage commandé par un calculateur comportant un circuit d'ex- ploitation et un circuit de temporisation selon l'in- vention. - la figure 2 représente un mode de réalisation prati- que d'un circuit de temporisation et d'un organe de réglage. La figure 1 montre un organe de réglage commandé par un calculateur et se composant d'un calculateur de procédé 10, d'un organe de réglage 12, d'un circuit d'exploitation 18 et d'un circuit de temporisation 30. L'organe de réglage 12 convient pour commander un circuit de réaction passif pour véhicules à moteur dans lequel un coussin à gaz, gon- flable est gonflé par l'allumage d'une cartouche à gaz et se glisse entre les occupants du véhicule et les parties à l'intérieur de l'habitacle. La charge exci- tée de manière correspondante par l'organe de réglage 12 est constituée par un dispositif d'allumage électri- que d'une cartouche à gaz. Dans le schéma-bloc représenté, le calculateur de procédé 10 reçoit ses données par l'intermédiaire d'une entrée de données 14. Une sortie 16 est reliée à la fois à l'entrée 44 du circuit de, temporisation 30 et à une entrée 26 du circuit d'exploi- tation 18. La sortie 46 du circuit de temporisation 30 est reliée à une entrée 28 de l'organe de réglage 12. La charge 14 est elle-même reliée à la sortie 48 de l'organe de réglage 12. L'entrée 26 du circuit d'exploi- tation 18 aboutit de manière interne à un comparateur 22 qui reçoit en outre une grandeur de consigne d'un générateur de valeurs de consigne 20. Le signal de sor- tie du comparateur passe de manière interne dans un générateur de signal de commutation 24. Les signaux de commutation ainsi engendrés sont transmis par une en- trée 32 qui peut être composée de plusieurs canaux, à une entrée de commande de correction 34 du calculateur et le cas échéant à une entrée de libération 36 et à une entrée de remise à l'état initial 38 du circuit de temporisation 30. Le générateur de valeurs de consi- gne reçoit également des signaux d'une entrée de valeurs de consigne 42 reliée à la même ligne de données que l'entrée de données 40 du calculateur. Dans une réalisation pratique, le circuit d'exploitation peut être constitué par un autre calculateur de procédé dans lequel sont réalisés les blocs fonctionnels 20, 22 et 24 ci-dessus par des étapes de programme. Le circuit de temporisation peut le cas échéant être constitué comme mémoire vive (mémoire à lecture et inscription) en forme de registre à déca- lage ou ligne de temporisation ou encore comme un com- parateur comportant un intégrateur et un générateur de 1-5 valeurs de consigne. Suivant la réalisation, il faut soit deux entrées de commande 36, 38 comme par exemple pour la mémoire vive, uniquement une entrée de remise à l'état initial 38 dans le cas d'un registre à décalage et de la ligne de temporisation ou aucune entrée de com- mande dans le cas d'une solution utilisant un compara- teur. Lorsque le dispositif fonctionne normalement, le calculateur reçoit en continu des don- nées par l'entrée de données 40; à partir de ces si- gnaux, il fournit des signaux de commande servant à commander l'organe de réglage 12. Lorsqu'un tel signal de commande apparaît à la sortie 16, il arrive à l'en- trée 44 du circuit de temporisation 30 pour être mis en mémoire. Le signal de commande arrive en même temps à l'entrée 26 du circuit d'exploitation 18. Dans celui-ci. le signal est comparé dans un comparateur 22 à une grandeur de consigne préparée par un générateur de grandeurs de consigne 20. Le générateur de grandeurs de consigne peut par exemple exécuter complètement les opérations de calcul du calculateur de procédé 10. Pour cela, il reçoit les mêmes données que le calculateur 10. Cela est indiqué par la ligne en tiretés allant à l'en- trée de valeurs de consigne 42. En variante, il peut également four- nir des valeurs fixes qui sont comparées aux échantil- lons de signaux suivant les critères de plausibilité. Dans ce cas, on peut supprimer la ligne allant vers l'entrée de valeurs de consigne 42. Si le comparateur 22 constate la coincidence des signaux, il fournit au générateur de signal de consigne à la sortie 32 également un signal de libération pour l'entrée de libération 36. Ce signal est nécessaire dans le cas d'une mémoire vive constituant t6 un circuit de temporisation. Puis, le signal de comman- de est transmis à l'entrée 28 de l'organe de réglage 12 pour l'exécution de l'ordre de réglage. Si le circuit de temporisation 30 est un registre à décalage, une ligne de retard ou un comparateur avec un générateur de valeurs de consigne et un intégrateur, aucun signal de libération n'est né- cessaire. Le signal de commande traverse le circuit 30 et le circuit d'exploitation 18 contrôle la coincidence des échantillons de signaux et les grandeurs de consi- gne. La temporisation est dimensionnée de façon qu'elle soit au moins aussi importante que l'intervalle de temps nécessaire au contrôle et le cas échéant à des corrections. A la fin du contrôle, le signal de comman- de passe alors automatiquement sur l'entrée 28 de l'or- gane de réglage 12. En cas de différence entre les échantillons des signaux et la grandeur de consigne, le générateur de signal de commutation émet un signal de correction à sa sortie 32 par exemple sous la forme d'un ordre de remise à l'état initial qui est appliqué à l'entrée de commande de correction 34 du calculateur 10. Puis, le signal de commande à la sortie 16 du calcula- teur 10 est effacé. Lorsque le circuit de temporisation est une mémoire vive, un registre à décalage ou une ligne de retard, l'entrée de remise à l'état initial 38 reçoit également un signal de remise à l'état initial, puis le signal de commande est effacé ou est supprimé avant qu'il atteigne l'entrée 28. Si le circuit de temporisation 30 est un comparateur avec un générateur de valeurs de con- signe et un intégrateur, il suffit d'effacer le signal de commande à la sortie 16 du calculateur 10 pour éviter que l'entrée 28 de l'organe de réglage 12 ne soit com- mandée avec temporisation. La figure 2 représente un exemple de réalisation du circuit de temporisation 30 et de l'organe de réglage 12. Le circuit de temporisation se compose d'un générateur de valeurs de consigne 50, d'un intégrateur 52 et d'un comparateur 54. Enfin, il est également prévu un différentiateur 74. Le générateur de valeurs de consi- gne 50 se compose lui-même d'un diviseur de tension avec des résistances 60 et 62. Ces résistances se si- tuent entre une source de tension de référence 56 et un potentiel de référence 58. La grandeur de consigne est détectée sur la prise 72 du diviseur pour être appliquée à l'entrée inversée 70 du comparateur cons- titué par l'amplificateur opérationnel 54. L'intégrateur 52 se compose d'un filtre passe-bas formé d'une résistance 66, entre l'en- trée 44 et l'entrée non inversée 64 de l'amplificateur opérationnel 54 ainsi que d'un condensateur 68 entre l'entrée non-inversée 64 et la source de tension de ré- férence 56. Le différentiateur 74 prévu en plus est un filtre passe haut se composant d'un conden- sateur 78 entre la sortie 76 de l'amplificateur opéra- tionnel 56 et l'entrée non inversée 64 ainsi que d'une résistance 80; la résistance est branchée entre l'en- trée non inversée 64 et la source de tension de référen- ce 56. L'organe de réglage comporte un montage en émetteur commun 84 formé d'un transistor dont le collecteur est relié à une source de tension d'alimentation 86 et dont l'émetteur est relié à la sor- tie 48. La base du montage en émetteur commun 84 est reliée au collecteur d'un étage d'entraînement 82. L'émetteur est relié à la source de tension d'alimenta- tion 86. La base est reliée par une résistance 88 égale- ment à la source de tension d'alimentation 86 et par une résistance 90, la base est reliée à l'entrée 28. Lorsqu'un premier signal de comman- de en forme de saut de tension arrive à l'entrée 44 du circuit de temporisation 30, ce signal charge le conden- sateur 68 par l'intermédiaire de la résistance 66. Sui- vant la constante de temps du montage résistance-conden- sateur, après un certain intervalle de temps, l'entrée non inversée 64 est à un potentiel qui correspond au potentiel de la prise 72; ce potentiel est appliqué à l'entrée inversée 70. Après dépassement de ce seuil, le potentiel à la sortie 76 de l'amplificateur opéra- tionnelle 54 ainsi qu'à la sortie 46 du circuit de tem- porisation 30 change pour prendre la forme d'un second signal de commande. Comme la sortie 76 de l'amplifi- cateur opérationnel 54 est en forme de collecteur ouvert, avant le passage dans cette situation, le potentiel à la base du circuit d'entraînement 82 pourrait être tiré vers le potentiel de la source de tension d'alimentation 86 par la résistance 88. Le second signal de commande est alors appliqué à la base par l'intermédiaire de la ré- sistance 90 et commute le circuit d'entraînement 82 ainsi que le circuit en émetteur commun 84 en aval. Lors d'un changement de potentiel à la sortie 76, le condensateur 78 du différentiateur 74 applique un même potentiel à l'entrée non inversée 64. Ce potentiel accélère la commutation. La résistance 80 est choisie de façon qu'après la commutation, on dis- pose d'un second signal de commande suffisamment long même si le premier signal de commande varie pour des raisons particulières. Lorsque le signal de commande ap- pliqué à l'entrée 44 change avant que son intégrale n'ait atteint la grandeur de consigne à l'entrée d'in- version 70, l'amplificateur opérationnel 54 ne commute pas le potentiel de sortie. De cette manière, on évite la formation d'un second signal de commande et on inter- dit ainsi la commande de l'organe de réglage. R E V E N D I C A T I 0 NS 1 ) Procédé pour surveiller des organes de réglage commandés par un calculateur notam- ment des installations de sécurité de véhicules motori- sés (comme par exemple des systèmes anti-blocage, des poches d'air ou des tendeurs de ceinture) et se comp- sant d'un calculateur de procédé ainsi que d'un organe de réglage électronique commandé par ce calculateur, procédé caractérisé en ce qu'à la sortie du calculateur (10) on prend des échantillons d'un signal de commande prévu pour commander l'organe de réglage (12) et on aoplique ces échantillons à un circuit d'exploitation (18), on compare les échantillons de signaux, en continu dans des inter- valles de temps prédéterminés aux grandeurs de consigne et en cas de déviation, on corrige le signal de sortie du calculateur et en ce que le signal de commande prévu pour la commande n'est transmis à l'organe de réglage qu'en cas de coincidence entre les échantillons de signaux et les grandeurs de consigne. 2 ) Procédé selon la revendication 1, caractérisé en ce que le signal de commande servant à commander l'organe de réglage (12) est mis en mémoire manière intermédiaire et n'est transmis à l'organe de réglage qu'après la fin d'un intervalle de temps de contr8le et de correction, en cas de coïncidence entre les échantillons de signaux et des grandeurs de consigne. 3 ) Procédé selon la revendication 1, caractérisé en ce que le signal de commande prévu pour commander l'organe de réglage (12) est transnis à l'or- gane de réglage après un temps prolongé d'au moins la valeur de l'intervalle de temps de controle et de cor- rection et en cas de différence entre les échantillons des signaux et les grandeurs de consigne, ce signal est supprimé sans délai. 4 ) Procédé selon la revendication 3, caractérisé en ce qu'on génère un premier signal de commande sous la forme d'un saut de tension, on intègre le signal de commande et on compare en continu cette intégrale à une grandeur de référence et lorsqu'on atteint la grandeur de référence, on génère un second signal de commande sous la forme d'un saut de tension et on l'applique directement à l'organe de réglage et en ce que pour supprimer le second signal de commande, on annule le saut de tension du premier signal de com- mande avant que son intégrale n'ait atteint la grandeur de référence. ) Circuit pour surveiller des organes de réglage commandés par calculateur notamment des installations de sécurité de véhicules motorisés (par exemple des systèmes anti-blocage, des poches d'air ou des tendeurs de ceinture) se composant d'un calculateur de procédé (10) et d'un organe de réglage (12) commandé électroniquement à partir du calculateur, circuit caractérisé en ce qu'il comporte un circuit d'exploitation (18) relié à la sortie (16) du calcula- teur (10), circuit d'exploitation qui se compose d'un générateur de valeurs de consigne (20), d'un compara- teur (22) commandé par le générateur de valeurs de con- signe (29) et par le calculateur de procédé (10) ainsi qu'un générateur de signal de commutation (24) commandé par le comparateur (22), un circuit de temporisation (30) étant prévu entre la sortie (16) du calculateur (10) et l'entrée de commande (28) de l'organe de réglage (12), et une sortie (32) du circuit d'exploitation (18) est reliée à une entrée de commande de correction (34) du calculateur (10) et/ou d'une entrée de libération (36) et/ou de remise à l'état initial (38) du circuit de temporisation (30). 6 ) Circuit selon la revendication 5, caractérisé en ce que le circuit de temporisation 2.2 est une mémoire vive (30) et la sortie (32) du circuit d'exploitation (18) est reliée à l'entrée de commande de correction (34) du calculateur (10) et à l'entrée de libération (36) ainsi qu'à l'entrée de remise à l'état initial (38) de la mémoire (30). 7 ) Circuit selon la revendication , caractérisé en ce que le circuit de temporisation est un registre à décalage (30) et la sortie (32) du circuit d'exploitation (18) est reliée à l'entrée de commande de correction (34) du calculateur (10) et à l'entrée de remise à l'état initial (36) du registre à décalage (30). 8 ) Circuit selon la revendication , caractérisé en ce que le circuit de temporisation est une ligne de retard (30) et la sortie (32) du cir- cuit d'exploitation (18) est reliée à l'entrée de com- mande de correction (34) du calculateur (10) et à l'en- trée de remise à l'état initial (36) de la ligne de re- tard (30). - 9 ) Circuit selon la revendication , caractérise en ce que le circuit de temporisation (30) se compose d'un générateur de valeurs de consigne (50), d'un intégrateur (52) et d'un comparateur (54) relié au générateur de valeurs de consigne (50) et à l'intégrateur (52) et la sortie (32) du circuit d'ex- ploitation (18) est reliée à l'entrée de commande de correction (34) du calculateur (10). ) Circuit selon la revendication 9, caractérise en ce que le générateur de valeurs de consigne (50) se compose d'un diviseur de tension monté entre une source de tension de référence (56) et un potentiel de référence (58) et comprenant deux résistan- ces (60, 62) en série, l'intégrateur (52) se compose d'un filtre passebas formé d'une résistance (66) et d'un condensateur (68) entre l'entrée (44) du circuit de temporisation (30) et l'une des entrées (64) du com- parateur (54), le condensateur (68) étant relié par une borne à la source de tension de référence (56) et en ce que le comparateur est un amplificateur opérationnel (54) dont l'entrée non inversée (64) est reliée au fil- tre passe-bas (52), son entrée inversée (70) étant re- liée à la prise (72) du diviseur de tension (60, 62). 11 ) Circuit selon l'une quelcon- que des revendications 9 ou 10, caractérisé en ce que le comparateur (54) comporte une sortie de collecteur ouvert (76). ) Circuit selon l'une quelcon- que des revendications 9 à 11, caractérisé en ce que le comparateur (54) comporte une réaction par l'intermé- diaire d'un élément de différentiation (74). 13 ) Circuit selon la revendication 12, caractérisé en ce que l'élément de différentiation (74) se compose d'un condensateur (78) entre la sortie (76) et l'entrée non inversée (64) du comparateur (54), et d'une résistance (80) entre l'entrée non inversée (64) et la source de tension de référence (56).. 14 ) Circuit selon l'une quelconque des revendications 5 à 13, caractérisé en ce que l'orga- ne de réglage (12) est un montage en émetteur commun (84) relié à l'étage d'entraînement (82) complémentaire.