FR 2682347 A1 19930416 FR 9211896 A 19921007 i La présente invention concerne un dispositif électrique de direction assistée destiné à assister la force requise pour changer l'orientation du volant de direction d'un véhicule. Un dispositif électrique de direction assistée a été développé et il utilise un capteur de vitesse de véhicule pour mesurer la vitesse de déplacement du véhicule et un capteur de couple pour mesurer le couple de braquage appliqué au volant Dans le dispositif électrique de direction assistée de ce type, lorsque le couple d'actionnement de direction mesuré est en dehors d'une zone morte prédéterminée, un moteur d'assistance de direction est entraîné par un courant d'entraînement dont l'amplitude est déterminée en fonction du couple d'actionnement de direction mesuré et de la vitesse de véhicule mesurée et la force de rotation du moteur est utilisée pour produire de l'énergie afin d'assister la force requise pour diriger le véhicule d'o il résulte qu'une sensation d'assistance confortable est obtenue pour le conducteur L'assistance de direction est commandée par un contrôleur (ci-après appelé unité centrale de traitement ou CPU) L'un de ces dispositifs électriques de direction assistée utilise une configuration de CPU duale pour assurer la sécurité du système vis-à-vis de tout dysfonctionnement tel qu'une aberration de la CPU. Le dispositif électrique de direction assistée muni d'une configuration de CPU duale comporte une CPU pour commander la force d'assistance de direction et une sous-CPU pour détecter une défaillance de la CPU principale en surveillant les entrées et les sorties appliquées à la CPU principale et en provenance de celle-ci de telle sorte que suite à la détection d'une défaillance de la CPU principale, la sous-CPU initialise une commande de sûreté intégrée qui implique l'arrêt du moteur et ainsi de suite pour assurer la sûreté du système. Dans le système à CPU duale, il est nécessaire de surveiller séparément le fonctionnement de base de chaque CPU individuelle Pour réaliser cela, chaque CPU prise parmi la CPU principale et la sous-CPU est connectée à un circuit de surveillance de contrôleur de séquence qui mesure la fréquence d'impulsions de contrôleur de séquence générées selon un taux de répétition fixe depuis la CPU qui lui est connectée et qui compare la fréquence mesurée à une valeur de référence pour détecter une défaillance dans le fonctionnement de la CPU. Lorsqu'une quelconque anomalie est détectée dans la CPU principale ou dans la sous-CPU au moyen du circuit de surveillance de contrôleur de séquence associé, la commande de sûreté intégrée est mise en oeuvre. Cependant, le dispositif électrique de direction assistée présenté ciavant qui comporte des circuits de surveillance de contrôleur de séquence distincts pour la CPU principale et pour la sous-CPU a pour problème que son coût de production est augmenté du fait de la fourniture de deux circuits de surveillance de contrôleur de séquence sous la forme d'un équipement en plus de la CPU principale et de la sous-CPU. Un objet de la présente invention consiste à proposer un dispositif électrique de direction assistée dans lequel chaque CPU est munie d'une fonction de surveillance de contrôleur de séquence interne pour ainsi obtenir une réduction du coût de production du dispositif. Un autre objet de l'invention consiste à proposer un dispositif électrique de direction assistée dans lequel, lorsqu'une CPU en anomalie est restaurée à un état de fonctionnement normal, le dispositif est libéré d'une commande de sûreté intégrée seulement après que le véhicule est arrêté, ce qui stabilise la condition de fonctionnement du système associée à l'opération de commande de sûreté intégrée. Un autre objet de l'invention consiste à proposer un dispositif électrique de direction assistée qui permette l'utilisation d'une sous-CPU présentant une capacité de traitement inférieure à celle de la CPU principale en simplifiant le traitement fonctionnel réalisé par la CPU, ce qui permet d'obtenir une réduction du coût de production du dispositif. Dans le dispositif électrique de direction assistée de l'invention, la CPU principale surveille le cycle d'un signal d'impulsion de contrôleur de séquence généré depuis la sous-CPU et elle détecte une quelconque anomalie du fonctionnement de la sous-CPU sur la base du résultat surveillé tandis que la sous- CPU surveille le cycle d'un signal d'impulsion de contrôleur de séquence généré depuis la CPU principale et qu'elle détecte une quelconque anomalie au niveau du fonctionnement de la CPU principale sur la base du résultat surveillé De cette manière, les deux CPU surveillent chacune le cycle du signal d'impulsion de contrôleur de séquence généré depuis l'autre de telle sorte qu'une quelconque anomalie qui survient dans la CPU principale soit détectée par la sous- CPU et vice-versa Ceci élimine la nécessité de connecter des équipements aux CPU respectives afin de surveiller le cycle du signal d'impulsion de contrôleur de séquence généré depuis chaque CPU Lorsqu'une anomalie est détectée dans l'une ou l'autre des CPU, l'assistance de direction est invalidée pour empêcher toute action d'assistance de direction dangereuse qui pourrait résulter d'un disfonctionnement de la CPU En outre, lorsqu'une anomalie est détectée dans l'une ou l'autre des CPU, la CPU en anomalie est remise à l'état initial afin qu'elle soit isolée de la commande relative à l'assistance de direction, ce qui empêche toute action d'assistance de direction dangereuse qui pourrait résulter d'un dysfonctionnement de la CPU. Selon un mode de réalisation particulier du dispositif électrique de direction assistée de l'invention, même si la CPU en anomalie est restaurée à un état de fonctionnement normal, l'assistance de direction, une fois invalidée, peut être validée seulement lorsque la vitesse du véhicule est à zéro; c'est-à- dire qu'une fois que l'assistance de direction est invalidée en tant que résultat d'une détection d'une défaillance dans la CPU sous surveillance, l'assistance de direction n'est pas redémarrée tandis que le véhicule est en mouvement Ceci sert à empêcher des conditions de déplacement instables qui seraient sinon provoquées par une activation et par une désactivation répétées de l'assistance de direction. De façon générale, dans un dispositif électrique de direction assistée, la situation d'assistance de direction dangereuse qui pourrait résulter d'un disfonctionnement de la CPU pour commander le moteur est représentée par les trois états suivants: le premier état dans lequel une force d'assistance de direction est exercée dans une situation de direction dans laquelle aucune force d'assistance de direction n'est nécessaire; le second état dans lequel une force d'assistance de direction est exercée suivant un sens opposé au sens de braquage du volant de direction; et le troisième état dans lequel une force d'assistance de direction excessive est exercée Selon un autre mode particulier du dispositif électrique de direction assistée de l'invention, la sous-CPU surveille la CPU principale quant à la survenue d'un quelconque état pris parmi ces trois états afin de détecter une anomalie dans le fonctionnement de la CPU principale Par conséquent, la sous- CPU est seulement nécessaire pour effectuer des opérations arithmétiques simples et par conséquent, la configuration de la sous-CPU peut être simplifiée. Les objets et caractéristiques de l'invention ainsi que d'autres apparaîtront à la lumière de la description détaillée qui suit que l'on lira en relation avec les dessins annexés, et parmi ces dessins: la figure 1 est un schéma fonctionnel qui représente la configuration d'un dispositif électrique de direction assistée selon un premier mode de réalisation et un second mode de réalisation de la présente invention; la figure 2 est un organigramme qui représente un programme principal prévu pour mettre en oeuvre une commande de surveillance de défaillance que la sous-CPU exécute sur la CPU principale selon le premier mode de réalisation de l'invention; la figure 3 est un organigramme qui représente un programme principal prévu pour mettre en oeuvre une commande de surveillance de défaillance que la CPU principale exécute sur la sous-CPU selon le premier mode de réalisation de l'invention; la figure 4 est un organigramme qui représente un sous- programme prévu pour un traitement de surveillance d'entrées/sorties exécuté dans la sous-CPU selon les premier et second modes de réalisation de l'invention; la figure 5 est un organigramme qui représente un sous- programme prévu pour un processus de surveillance de contrôleur de séquence exécuté dans la CPU principale et dans la sous-CPU selon le premier mode de réalisation de l'invention; la figure 6 est un organigramme qui représente un programme principal prévu pour mettre en oeuvre une commande de surveillance de défaillance que la sous-CPU exécute sur la CPU principale selon le second mode de réalisation de l'invention; la figure 7 est un organigramme qui représente un programme principal prévu pour mettre en oeuvre une commande de surveillance de défaillance que la CPU principale exécute sur la sous- CPU selon le second mode de réalisation de l'invention; la figure 8 est un organigramme qui représente un sous- programme prévu pour mettre en oeuvre un processus de surveillance de contrôleur de séquence exécuté dans la CPU principale et dans la sous- CPU selon le second mode de réalisation de l'invention; la figure 9 est un organigramme qui représente un sous- programme prévu pour mettre en oeuvre un processus de retour normal exécuté dans la CPU principale et dans la sous-CPU selon le second mode de réalisation de l'invention; la figure 10 est un schéma fonctionnel qui représente la configuration d'un dispositif électrique de direction assistée selon un troisième mode de réalisation de l'invention; la figure 11 est un organigramme qui représente un programme principal exécuté dans la sous-CPU selon le troisième mode de réalisation de l'invention; la figure 12 est un organigramme qui représente un sous- programme prévu pour mettre en oeuvre un traitement de surveillance de la rotation d'un volant de ditection de la figure 11; la figure 13 est un organigramme qui représente un sous- programme prévu pour mettre en oeuvre un processus de surveillance de l'assistance de direction inversée de la figure 11; et la figure 14 est un organigramme qui représente un sous- programme prévu pour mettre en oeuvre un processus de surveillance d'une assistance de direction excessive de la figure 11. Les modes de réalisation particuliers de l'invention sont maintenant décrits en détail par report aux dessins annexés. Mode de réalisation 1 La figure 1 est un schéma fonctionnel qui représente la configuration d'un dispositif électrique de direction assistée selon le premier mode de réalisation de l'invention Une référence 1 indique une CPU principale qui est à l'origine d'une commande d'assistance de direction et l'état de fonctionnement de la CPU principale 1 est surveillé par une sous-CPU 2 La CPU principale 1 envoie un signal d'impulsion de contrôleur de séquence à la sous-CPU 2 et sur la base de ce signal, la sous- CPU 2 surveille l'état de fonctionnement de base de la CPU principale 1 Par ailleurs, la sous-CPU 2 envoie un signal d'impulsion de contrôleur de séquence à la CPU principale 1 et sur la base de ce signal, la CPU principale 1 surveille l'état de fonctionnement de base de la sous-CPU 2. D'autres signaux appliqués à la CPU principale 1 sont: un signal de détection de couple qui représente un couple de braquage appliqué au volant de direction, le couple d'actionnement de direction étant détecté par un capteur de couple 3 et étant amplifié au travers d'un amplificateur 11; un signal de détection de vitesse de moteur en provenance d'un capteur de vitesse de moteur 4 qui détecte le nombre de tours du moteur; et un signal de détection de vitesse de véhicule en provenance d'un capteur de vitesse de véhicule 5 qui détecte la vitesse de déplacement du véhicule. Le signal de détection de couple amplifié par l'amplificateur 11, ce signal représentant le résultat d'une détection effectuée par le capteur de couple 3, et le signal de 1 i O détection de vitesse de véhicule en provenance du capteur de vitesse de véhicule 5 sont également appliqués à la sous-CPU 2. Sur la base du signal de détection de couple et du signal de détection de vitesse de véhicule ainsi appliqués, la CPU principale 1 exécute des opérations prescrites afin d'obtenir un courant d'entraînement pour entraîner un moteur 8 pour l'assistance de direction aussi bien que pour le sens de rotation du moteur 8 La CPU principale 1 envoie alors un signal d'entraînement modulé en largeur d'impulsions (appelé par la suite signal PWM) correspondant au courant d'entraînement à un circuit d'entraînement de moteur 7 Lorsque le sens de rotation obtenu du moteur 8 est le sens des aiguilles d'une montre, la CPU principale 1 applique un signal de niveau logique haut à une première porte ET 12 qui applique alors un signal de rotation dans le sens des aiguilles d'une montre au circuit d'entraînement de moteur 7 afin d'entraîner le moteur 8 dans le sens des aiguilles d'une montre Par ailleurs, lorsque le sens de rotation obtenu du moteur 8 est le sens inverse des aiguilles d'une montre, la CPU principale 1 applique un signal de niveau logique haut à une seconde porte ET 13 qui applique alors un signal de rotation en sens inverse des aiguilles d'une montre au circuit d'entraînement de moteur 7 afin d'entraîner le moteur 8 dans le sens inverse des aiguilles d'une montre En plus des opérations de commande telles que décrites ci-avant, la CPU principale 1 exécute une commande pour surveiller le fonctionnement de base de la sous-CPU 2 pour détecter une défaillance, comme il sera décrit ci-après, sur la base du signal d'impulsion de contrôleur de séquence appliqué depuis la sous-CPU 2. Sur la base du signal de détection de couple appliqué et du signal de détection de vitesse de véhicule, la sous-CPU 2 exécute les mêmes opérations que celles exécutées dans la CPU principale 1 afin d'obtenir un courant d'entraînement pour entraîner le moteur 8 ainsi que le sens de rotation du moteur 8, et elle surveille les opérations de commande de la CPU principale 1 pour détecter une défaillance, comme il sera décrit 1 i O ultérieurement Dans le même temps, la sous-CPU 2 exécute une commande pour surveiller le fonctionnement de base de la CPU principale 1 en vue de la détection d'une défaillance, sur la base du signal d'impulsion de contrôleur de séquence appliqué depuis la CPU principale 1, et elle applique des signaux logiques à la première porte ET 12 et à la seconde porte ET 13. Lorsque les signaux logiques entrés depuis la CPU principale 1 et la sous-CPU 2 sont tous deux à un niveau haut, la première porte ET 12 émet en sortie un signal de rotation dans le sens des aiguilles d'une montre de niveau haut qui est appliqué au circuit d'entraînement de moteur 7 Par ailleurs, lorsque les signaux logiques entrés depuis la CPU principale 1 et la sous- CPU 2 sont tous deux à un niveau haut, la seconde porte ET 13 émet en sortie un signal de rotation dans le sens inverse des aiguilles d'une montre de niveau haut qui est appliqué au circuit d'entraînement de moteur 7. Le circuit d'entraînement de moteur 7 détermine le sens de rotation du moteur 8 sur la base des états logiques des signaux de rotation dans le sens des aiguilles d'une montre et dans le sens inverse des aiguilles d'une montre et il entraîne le moteur 8 sur la base du signal d'entraînement PWM appliqué depuis la CPU principale 1 Lorsque les signaux logiques appliqués depuis la première porte ET 12 et depuis la seconde porte ET 13 sont tous deux à un niveau bas, le circuit d'entraînement de moteur 7 invalide l'entraînement du moteur 8. Le courant destiné à entraîner le moteur 8 est détecté par une résistance de détection de courant 10 et le résultat détecté est appliqué à la CPU principale 1 ainsi qu'à la sous-CPU 2 via un amplificateur 9. Procédons maintenant à la description des opérations de commande de surveillance de défaillance exécutées par la CPU principale 1 et par la sous-CPU 2 dans le dispositif électrique de direction assistée de la configuration décrite ci-avant La figure 2 est un organigramme qui représente un programme principal destiné à mettre en oeuvre une commande de surveillance de défaillance que la sous-CPU 2 exécute sur la CPU principale 1 La sous-CPU 2 exécute séquentiellement un sous-programme prévu pour mettre en oeuvre un processus de surveillance d'entrées/sorties (étape Si) et un sous-programme prévu pour mettre en oeuvre un processus de surveillance de contrôleur de séquence (étape 52 a) La figure 3 est un organigramme qui représente un programme principal destiné à mettre en oeuvre une commande de surveillance de défaillance que la CPU principale 1 exécute sur la sous- CPU 2 La CPU principale 1 exécute un sous-programme prévu pour mettre en oeuvre un processus de surveillance de contrôleur de séquence (étape 52 b). Procédons tout d'abord à la description du sous- programme prévu pour mettre en oeuvre un processus de surveillance d'entrées/sorties (étape Si) exécuté dans la sous- CPU 2 Lors du processus de surveillance d'entrées/sorties dans lequel la sous-CPU 2 surveille les entrées/sorties appliquées à la CPU principale 1 et en provenance de celle-ci, la sous-CPU 2 exécute les mêmes opérations que celles exécutées dans la CPU principale 1 pour la commande d'assistance de direction et elle compare les résultats avec les résultats produits par la CPU principale 1 pour la commande d'assistance de direction, le résultat de la comparaison étant utilisé pour la détection d'une anomalie dans la CPU principale 1 Les paramètres utilisés pour la comparaison incluent la valeur de courant d'entraînement du moteur 8, le sens de rotation du moteur 8 et ainsi de suite. Parmi ces paramètres, la valeur de courant d'entraînement du 1 O moteur 8 est prise en tant qu'exemple pour expliquer le processus de surveillance d'entrées/sorties. La figure 4 est un organigramme qui représente les contenus de traitement du sous-programme de surveillance d'entrées/sorties (étape Si) exécuté dans la sous-CPU 2 Tout d'abord, la même opération que dans la CPU principale 1 est exécutée pour calculer la valeur de courant d'entraînement du moteur 8 (étape Sll) puis la différence entre la valeur de courant calculée et la valeur de détection de courant appliquée pour entraîner le moteur 8 est obtenue (étape 512). Puis il est déterminé si oui ou non la différence n'est pas supérieure à une valeur prédéterminée (étape 513) S'il est déterminé que la différence n'est pas supérieure à la valeur prédéterminée, alors il est décidé que la CPU principale 1 fonctionne normalement et les signaux logiques qui doivent être appliqués à la première porte ET 12 et à la seconde porte ET 13 sont tous établis à un niveau haut pour valider l'entraînement du moteur 8 (étape 514). Par ailleurs, s'il est déterminé que la différence est supérieure à la valeur prédéterminée, il est alors décidé qu'une anomalie s'est produite dans le fonctionnement de la CPU principale 1 et les signaux logiques qui doivent être appliqués à la première porte ET 12 et à la seconde porte ET 13 sont tous établis à un niveau bas pour initialiser un fonctionnement de sûreté intégrée afin d'invalider l'entraînement du moteur 8 (étape 515), un indicateur de défaillance de CPU est établi pour indiquer qu'une défaillance s'est produite dans la CPU sous surveillance (étape 516) puis le processus retourne au programme principal. Procédons maintenant à la description du processus de surveillance de contrôleur de séquence que la CPU principale 1 exécute sur la sous-CPU 2 ainsi qu'au processus équivalent que la sous-CPU 2 effectue sur la CPU principale 1 Les contenus du processus de surveillance de contrôleur de séquence sont les mêmes entre la CPU principale 1 et la sous-CPU 2. 1 1 La figure 5 est un organigramme qui représente les contenus de traitement du sous-programme de traitement de surveillance de contrôleur de séquence exécuté dans la CPU principale 1 (étape 52 b) ainsi que dans la sous-CPU 2 (étape 52 a). Tout d'abord, il est déterminé si oui ou non un front d'impulsion (le front avant ou arrière d'une impulsion) est détecté dans le signal d'impulsion de contrôleur de séquence (étape 521); s'il est déterminé qu'un front d'impulsion est détecté dans le signal d'impulsion de contrôleur de séquence, alors la valeur de comptage d'un second compteur de cycles est remise à zéro (étape 522) et un premier compteur de cycles est activé pour compter le cycle du front qui apparaît dans le signal d'impulsion de contrôleur de séquence (étape 523). Puis il est déterminé si oui ou non la valeur de comptage du premier compteur de cycles n'est pas inférieure à une valeur prédéterminée (étape 524) Si la valeur de comptage est déterminée comme n'étant pas inférieure à la valeur prescrite au niveau de l'étape 524, ceci signifie que la fréquence du signal d'impulsion de contrôleur de séquence est à une valeur appropriée et par conséquent, il est décidé que la CPU qui est en train de générer le signal d'impulsion de contrôleur de séquence est dans un état de fonctionnement normal La valeur de comptage du premier compteur de cycles est alors remise à zéro (étape 525) et le processus retourne au programme principal. Par ailleurs, si la valeur de comptage est déterminée comme étant inférieure à la valeur prédéterminée, ceci signifie que la fréquence du signal d'impulsion de contrôleur de séquence est supérieure à la valeur appropriée et par conséquent, il est décidé que la CPU qui est en train de générer le signal d'impulsion de contrôleur de séquence est dans un état d'anomalie Le processus passe alors à une étape 528 pour initialiser un fonctionnement de sûreté intégrée qui sera décrit ultérieurement. 1 2 Si au niveau de l'étape 521 il est déterminé qu'aucun front n'est détecté dans le signal d'impulsion de contrôleur de séquence, alors le second compteur de cycles est activé pour compter le cycle sans front du signal d'impulsion de contrôleur de séquence (étape 526). Puis il est déterminé si oui ou non la valeur de comptage du second compteur de cycles n'est pas inférieure à une valeur prédéterminée (étape 527) Si la valeur de comptage est déterminée comme étant inférieure à la valeur prédéterminée au 1 i O niveau de l'étape 527, ceci signifie que la fréquence du signal d'impulsion de contrôleur de séquence est à une valeur appropriée et par conséquent, il est décidé que la CPU qui est en train de générer le signal d'impulsion de contrôleur de séquence est dans un état de fonctionnement normal Le processus retourne alors au programme principal. Par ailleurs, si la valeur de comptage est déterminée comme n'étant pas inférieure à la valeur prédéterminée au niveau de l'étape 527, ceci signifie que la fréquence du signal d'impulsion de contrôleur de séquence est supérieure à la valeur appropriée et par conséquent, il est décidé que la CPU qui est en train de générer le signal d'impulsion de contrôleur de séquence est dans un état d'anomalie Le processus passe alors à l'étape 528. Au niveau de l'étape 528, un fonctionnement de sûreté intégrée est exécuté et selon ce fonctionnement, les signaux logiques qui doivent être appliqués à la première porte ET 12 et à la seconde porte ET 13 sont tous établis à un niveau bas pour invalider l'entraînement du moteur 8 Ensuite,le processus revient au programme principal. Selon ce mode de réalisation, afin d'exécuter le fonctionnement de sûreté intégrée, les signaux logiques qui doivent être appliqués à la première porte ET 12 et à la seconde porte ET 13 sont tous établis à un niveau bas pour invalider l'entraînement du moteur 8 mais on appréciera que le fonctionnement de sûreté intégrée puisse être exécuté selon 1 3 d'autres façons Par exemple, un signal de remise à l'état initial peut être appliqué à la CPU en anomalie pour remettre à l'état initial la CPU Une autre façon d'exécuter le fonctionnement de sûreté intégrée consiste à monter un embrayage électromagnétique sur le moteur 8 et à désexciter l'embrayage électromagnétique lorsqu'une défaillance est détectée lors du fonctionnement de la CPU Selon une variante, un relais de sûreté intégrée peut être prévu sur la ligne d'alimentation qui arrive au circuit d'entraînement de moteur 7, le relais de sûreté intégrée étant désactivé au moment d'une défaillance de la CPU. Dans le dispositif électrique de direction assistée qui présente les fonctions de commande citées ci-avant, la CPU principale 1 et la sous- CPU 2 se surveillent mutuellement du point de vue de leurs fonctionnements de base en vue d'une détection d'une défaillance sur la base du signal d'impulsion de contrôleur de séquence qu'une CPU envoie à l'autre Ceci élimine la nécessité d'un circuit de surveillance de contrôleur de séquence séparé qui, dans l'art antérieur, a été prévu pour chaque CPU prise parmi la CPU principale 1 et la sous-CPU 2. L'élimination d'un équipement tel que le circuit de surveillance de contrôleur de séquence nécessaire dans l'art antérieur contribue à une réduction du coût de production du dispositif qui présente une configuration de CPU duale. En outre, lorsqu'une défaillance est détectée dans l'une ou l'autre des deux CPU, soit l'assistance de direction est invalidée, soit la CPU en anomalie est remise à l'état initial Ceci sert à éliminer la possibilité d'une action d'assistance de direction dangereuse qui pourrait résulter d'une défaillance d'une CPU et par conséquent, la sûreté du système est assurée. Mode de réalisation 2 Selon le premier mode de réalisation décrit ciavant, la CPU principale et la sous-CPU se surveillent mutuellement l'une l'autre du point de vue d'une défaillance en surveillant le signal d'impulsion de contrôleur de séquence qu'une CPU envoie à l'autre CPU; selon ce processus de commande, lorsqu'une défaillance est détectée dans la CPU principale ou dans la sous-CPU, la CPU qui a détecté la défaillance de l'autre CPU effectue un fonctionnement de sûreté intégrée et lorsque la CPU en anomalie est restaurée dans un état de fonctionnement normal, le dispositif est libéré du fonctionnement de sûreté intégrée. Cependant, si le cycle défaillance/restauration de l'une des CPU ou de l'autre est répété, du fait de l'activation et de la désactivation du fonctionnement de sûreté intégrée de manière répétée tandis que le véhicule se déplace, le fonctionnement du 1 i O système devient instable, ce qui introduit une instabilité au niveau du déplacement du véhicule Un fonctionnement instable du système est particulièrement dangereux lorsque le véhicule se déplace à vitesse élevée. Selon le second mode de réalisation décrit ci-après, lorsqu'une CPU enanomalie est restaurée à état normal, le fonctionnement de sûreté intégrée, une fois activé, n'est pas désactivé jusqu'à après l'arrêt du véhicule, ce qui stabilise la condition de fonctionnement du système associé au fonctionnement de sûreté intégrée. La configuration du dispositif électrique de direction assistée du second mode de réalisation est fondamentalement la même que celle du premier mode de réalisation mentionné ci- avant (figure 1) et par conséquent, la description de la configuration est omise ici. La description qui suit concerne les opérations de commande de surveillance de défaillance exécutées par la CPU principale 1 et par la sous-CPU 2 contenues dans le dispositif électrique de direction assistée du second mode de réalisation. La figure 6 est un organigramme qui représente un programme principal destiné à commander une surveillance de défaillance que la sous-CPU 2 effectue sur la CPU principale 1 La sous-CPU 2 exécute séquentiellement un sous-programme destiné à mettre en oeuvre un processus de surveillance d'entrées/sorties (étape Si), un sous-programme destiné à mettre en oeuvre un processus de surveillance de contrôleur de séquence (étape 52 c) et un 1 5 sous-programme destiné à mettre en oeuvre un processus de retour normal (étape 53 a) La figure 7 est un organigramme qui représente un programme principal destiné à mettre en oeuvre une commande de surveillance de défaillance que la CPU principale 1 exécute sur la sous-CPU 2 La CPU principale 1 exécute séquentiellement un sous-programme destiné à mettre en oeuvre un processus de surveillance de contrôleur de séquence (étape 52 d) et un sous-programme destiné à mettre en oeuvre un processus de retour normal (étape 53 b). Le sous-programme destiné à mettre en oeuvre une commande de surveillance d'entrées/sorties (étape Si) au niveau de la sous-CPU 2 est le même que le sous-programme destiné à mettre en oeuvre une commande de surveillance d'entrées/sorties (figure 4) au niveau de la sous-CPU 2 du premier mode de réalisation mentionné ci- avant et sa description est par conséquent omise ici. La figure 8 est un organigramme qui représente les contenus de traitement du sous-programme de traitement de surveillance de contrôleur de séquence exécuté dans la CPU principale 1 (étape 52 d) ainsi que dans la sous-CPU 2 (étape 52 c) Le sous-programme de traitement de surveillance de contrôleur de séquence du second mode de réalisation est essentiellement le même que le sous-programme de traitement de surveillance de contrôleur de séquence (étapes 52 a, 52 b) du premier mode de réalisation Par conséquent, les étapes qui se correspondent sont indiquées au moyen des mêmes index de référence que sur la figure 5 et leur description est omise ici. Selon le second mode de réalisation, après réalisation du fonctionnement de sûreté intégrée au niveau d'une étape 528, un indicateur de défaillance de CPU est établi pour indiquer qu'une défaillance s'est produite dans la CPU sous surveillance (étape 529) puis le processus retourne au programme principal. Procédons maintenant à la description du traitement de retour normal exécuté sur la sous-CPU 2 par la CPU principale 1 et au traitement équivalent exécuté sur la CPU principale 1 par 1 6 la sous- CPU 2 Les contenus de traitement sont les mêmes entre la CPU principale 1 et la sous-CPU 2. La figure 9 est un organigramme qui représente les contenus de traitement du sous-programme de traitement de retour normal exécuté dans la CPU principale 1 (étape 53 b) ainsi que dans la sous-CPU 2 (étape 53 a). Tout d'abord, il est déterminé si oui ou non l'indicateur de défaillance de CPU est établi (étape 531) S'il est déterminé au niveau de l'étape 531 que l'indicateur de défaillance de CPU n'est pas établi, le processus retourne au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 531 que l'indicateur de défaillance de CPU est établi, alors il est déterminé si oui ou non la vitesse de véhicule détectée est à zéro (étape 532). S'il est déterminé au niveau de l'étape 532 que la vitesse de véhicule n'est pas à zéro (ce qui indique que le véhicule est en mouvement), le processus retourne au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 532 que la vitesse de véhicule est à zéro (ce qui indique que le véhicule est dans un état arrêté), alors l'indicateur de défaillance de CPU est ré-établi (étape 533) et le fonctionnement de sûreté intégrée est terminé (étape 534), après quoi le processus retourne au programme principal. Selon le second mode de réalisation ainsi que selon le premier mode de réalisation, le fonctionnement de sûreté intégrée peut être exécuté soit en invalidant l'entraînement du moteur 8 en ré-établissant la CPU en anomalie soit en désactivant un relais de sûreté intégrée au moment d'une défaillance de CPU. Selon la commande de surveillance de défaillance décrite ci-avant, lorsqu'une défaillance s'est produite dans la CPU sous surveillance, un fonctionnement de sûreté intégrée est tout d'abord exécuté pour invalider l'assistance de direction et lorsque la CPU sous surveillance est restaurée par la suite à un état de fonctionnement normal, le fonctionnement de sûreté 1 7 intégrée est désactivé pour libérer l'assistance de direction de l'état invalidé Il est cependant à noter que le fonctionnement de sûreté intégrée peut seulement être désactivé après détection de l'état arrêté du véhicule afin d'empêcher la répétition de l'activation et de la désactivation du fonctionnement d'assistance de direction pendant le déplacement du véhicule, ce qui assure des conditions de déplacement stables pour le véhicule. Comme décrit ci-avant, selon le dispositif électrique de direction assistée du second mode de réalisation, même lorsque la CPU en anomalie est restaurée à un état de fonctionnement normal, l'assistance de direction une fois invalidée peut être libérée de l'état invalidé seulement lorsque la vitesse de véhicule est à zéro de telle sorte que l'opération d'assistance de direction une fois invalidée en tant que résultat d'une défaillance de la CPU sous surveillance ne soit pas redémarrée pendant le déplacement du véhicule Ceci empêche des conditions de déplacement instables provoquées par une activation et une désactivation répétées du fonctionnement d'assistance de direction tandis que la CPU sous surveillance tombe en panne puisqu'elle est restaurée à un état de fonctionnement normal et ceci sert donc à stabiliser le fonctionnement du système en association avec le fonctionnement de sûreté intégrée. Mode de réalisation 3 De façon générale, dans un dispositif électrique de direction assistée présentant une configuration de CPU duale, la CPU principale exécute un fonctionnement afin d'obtenir la valeur d'un courant d'entraînement de moteur à partir du couple d'actionnement de direction détecté et de la vitesse de véhicule et elle commande de ce fait la force d'assistance de direction du moteur Dans le même temps, la sous-CPU exécute la même opération que dans la CPU principale et elle compare le résultat de l'opération à celui de la CPU principale pour surveiller les entrées/sorties appliquées à la CPU principale et en provenance de celle-ci en vue de la détection d'une anomalie dans la CPU 1 8 principale 1 Lorsqu'une anomalie du fonctionnement de la CPU principale est détectée par la sous-CPU, la sous-CPU exécute une commande de sûreté intégrée qui met en jeu l'arrêt du moteur et ainsi de suite afin d'assurer la sûreté du système. Cependant, un tel dispositif électrique de direction assistée équipé d'une configuration de CPU duale a pour problème l'augmentation du coût de production du dispositif puisque la sous-CPU chargée de la surveillance doit avoir une capacité de traitement équivalente à celle de la CPU principale Le troisième mode de réalisation décrit ci- après permet l'utilisation d'une sous-CPU de surveillance présentant une capacité de traitement inférieure à celle de la CPU principale en simplifiant le traitement opérationnel qui doit être réalisé dans la sous-CPU. De façon générale, dans un dispositif électrique de direction assistée, la situation d'assistance de direction dangereuse qui peut résulter d'un disfonctionnement de la CPU pour commander le moteur est représentée par les trois états suivants: le premier état dans lequel une force d'assistance de direction est exercée dans une situation de direction dans laquelle aucune force d'assistance de direction n'est nécessaire; le second état dans lequel une force d'assistance de direction est exercée suivant un sens opposé au sens de braquage du volant de direction; et le troisième état dans lequel une force d'assistance de direction excessive est exercée Par conséquent, lors de la surveillance d'une défaillance de la CPU responsable de la commande du moteur, il est seulement nécessaire de surveiller les entrées et sorties appliquées à la CPU principale et en provenance de celle-ci pour la survenue de l'un quelconque des trois états mentionnés ci-avant Plus spécifiquement, lorsqu'une information de commande relative à la valeur de courant d'entraînement indique une valeur qui ne chute pas au- dessous d'une valeur prédéterminée tandis que le couple d'actionnement de direction est à l'intérieur d'une zone morte, la sous-CPU détermine la situation comme étant une situation de défaillance de la CPU principale et détecte donc le premier état 1 9 mentionné ci-avant; lorsqu'une information de commande appliquée au sens de rotation du moteur indique un sens opposé au sens du couple d'actionnement de direction détecté tandis que le couple d'actionnement de direction détecté est à l'extérieur de la zone morte, la sous-CPU détermine la situation comme étant une situation de défaillance de la CPU principale et détecte donc le second état; et lorsque le courant d'entraînement est supérieur à une valeur prédéterminée, la sous-CPU détermine la situation comme étant une situation de défaillance de la CPU principale et détecte donc le troisième état Ces opérations de surveillance au moyen de la sous-CPU sont effectuées en comparant l'information relative aux entrées et aux sorties affectées à la CPU principale et en provenance de celle-ci et par conséquent, elles peuvent être réalisées au moyen d'un traitement fonctionnel simple. La figure 10 est un schéma fonctionnel qui représente la configuration d'un dispositif électrique de direction assistée selon le troisième mode de réalisation de l'invention Le repère de référence 21 indique une CPU principale responsable d'une commande d'assistance de direction et l'état de fonctionnement de la CPU principale 21 est surveillée par une sous-CPU 22. Le couple de braquage appliqué au volant est détecté par un capteur de couple 23 et est amplifié au travers d'un amplificateur 24 Le signal amplifié, soit un signal de détection de couple T, est appliqué à une section de compensation de phase 31 et à une section de différenciation 32 contenues dans la CPU principale 21 ainsi qu'à une section de différenciation 41 et qu'à une section de surveillance de sûreté intégrée 42 contenues dans la sous-CPU 22 Par ailleurs, un signal de détection de vitesse de véhicule V qui est émis en sortie depuis un capteur de vitesse de véhicule 25 qui détecte la vitesse de déplacement du véhicule est appliqué à la section de différenciation 32 et à une section de génération de fonction 33 contenues dans la CPU principale 21 ainsi qu'à la section de différenciation 41 et qu'à la section de surveillance de sûreté intégrée 42 contenues dans la sous-CPU 22. Un circuit de détection de courant 28 détecte un courant d'entraînement pour entraîner un moteur 27 en vue d'une assistance de direction et il émet en sortie un signal de détection de courant Is qui est appliqué à un soustracteur 35 contenu dans la CPU principale 21 ainsi qu'à une section de surveillance de sûreté intégrée 40 contenue dans la sous-CPU 22 En outre, un signal de sens d'entraînement de moteur qui représente le sens d'entraînement du moteur 27 est appliqué depuis un circuit d'entraînement de moteur 26 à la section de surveillance de sûreté intégrée 42 contenue dans la sous-CPU 22 Le signal de détection de couple T, le signal de détection de vitesse de véhicule V et le signal de détection de courant Is appliqués à la CPU principale 21 et à la sous-CPU 22 sont convertis de la forme analogique à la forme numérique par des convertisseurs analogiques/numériques (A/N) (non représentés) respectivement prévus dans la CPU principale 21 et dans la sous-CPU 22. Dans la CPU principale 21, la section de compensation de phase 31 avance la phase du signal de détection de couple T et applique le signal de détection de couple T qui représente un couple d'actionnement de direction T à la section de génération de fonction 33 qui émet en sortie une valeur de courant cible 1, soit une valeur cible qui constitue un objectif pour le courant de moteur. Dans la section de génération de fonction 33, une fonction est établie de façon variable en relation avec la vitesse de véhicule V ( o Vl 1 i O courant cible I à un additionneur 34. Par ailleurs, la section de différenciation 32 différencie le signal de détection de couple T, multiplie le résultat par une constante différentielle qui est déterminée en relation avec le signal de détection de vitesse de véhicule V et applique une valeur de courant différentielle Idl, soit le produit résultant, à l'additionneur 34 L'additionneur 34 ajoute la valeur de courant cible I appliquée depuis la section de génération de fonction 33 à la valeur de courant différentielle Idi appliquée depuis la section de différenciation 32 et applique la somme résultante au soustracteur 35. Le soustracteur 35 soustrait la valeur de détection de courant Is représentée en tant que signal de détection de courant Is détecté par le circuit de détection de courant 28 de la somme produite par l'additionneur 34 et applique la différence résultante à une section de calcul de tension cible 36 La section de calcul de tension cible 36 effectue une opération de proportion-intégration-différenciation (appelée par la suite opération PID) sur la différence ainsi appliquée et applique un signal PWM correspondant au résultat de l'opération au circuit d'entraînement de moteur 26 pour entraîner le moteur 27 Le circuit d'entraînement de moteur 26 entraîne le moteur 27 sur la base du signal PWM. Dans la sous-CPU 22, la section de différenciation 41 différencie le signal de détection de couple T, multiplie le résultat par une constante différentielle qui est déterminée en relation avec le signal de détection de vitesse de véhicule V et applique une valeur de courant différentielle 1 d 2, soit le produit résultant, à la section de surveillance de sûreté intégrée 42 Sur la base du couple d'actionnement de direction T, de la vitesse de véhicule V, de la valeur de courant différentielle 1 d 2, de la valeur de détection de courant Is et du signal de sens d'entraînement de moteur, la section de surveillance de sûreté intégrée 42 réalise un traitement pertinent pour la surveillance des opérations de commande dans la CPU principale 21 comme il sera décrit ultérieurement Lorsqu'une défaillance est détectée dans le fonctionnement de la CPU principale 21 en tant que résultat du traitement, un signal d'invalidation d'entraînement de moteur pour invalider l'entraînement du moteur 22 est appliqué au circuit d'entraînement de moteur 26. Puis le fonctionnement de la sous-CPU 22 est décrit La figure 11 est un organigramme qui représente les contenus de traitement du programme principal exécuté dans la sous-CPU 22. Lorsque le programme est démarré, la mémoire, le registre, la minuterie, etc contenus dans la sous-CPU 22 sont tout d'abord initialisés (étape 510) Puis en attendant que la minuterie qui établit le cycle de fonctionnement compte une valeur établie (par exemple 1 ms) (étape 520), le signal d'entrée (signal de détection de couple T) est converti de la forme analogique à la forme numérique (étape 530) et le signal de détection de couple T est différencié par la section de différenciation 41 (étape 540). Puis la section de surveillance de sûreté intégrée 42 exécute séquentiellement un sous-programme destiné à surveiller le braquage du volant de direction (étape 550), un sous-programme destiné à surveiller une assistance d'orientation inversée (étape 560) et un sous-programme destiné à surveiller une assistance d'orientation excessive (étape 570). Les contenus de chaque sous-programme sont maintenant décrits en détail La figure 12 est un organigramme qui représente les contenus de traitement du sous-programme destiné à surveiller le braquage du volant (étape 550). Tout d'abord, il est déterminé si oui ou non l'embrayage (non représenté) destiné à transmettre la force de rotation du moteur 27 au mécanisme de direction est enclenché (étape 551). S'il est déterminé au niveau de l'étape 551 que l'embrayage n'est pas enclenché, le processus revient au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 551 que l'embrayage est enclenché, alors il est déterminé si oui ou non le couple d'actionnement de direction T est à l'intérieur de la zone morte, comme établi dans la section de génération de fonction 33 (étape 552). S'il est déterminé au niveau de l'étape 552 que le couple d'actionnement de direction T n'est pas à l'intérieur de la zone morte, la valeur de comptage du compteur qui compte le temps nécessaire à l'exécution du fonctionnement de sûreté intégrée (pour invalider l'entraînement du moteur 27) est mise à zéro (étape 554) puis le processus revient au programme principal. Par ailleurs, s'il est déterminé au niveau de l'étape 552 que le couple d'actionnement de direction T est à l'intérieur de la zone morte, alors il est déterminé si oui ou non la valeur de détection de courant Is est supérieure à la valeur de courant différentielle ld 2 (étape 553). S'il est déterminé au niveau de l'étape 553 que la valeur de détection de courant Is n'est pas supérieure à la valeur de courant différentielle 1 d 2, la valeur de comptage de la minuterie est mise à zéro (étape 554) et le processus revient au programme principal. Par ailleurs, s'il est déterminé au niveau de l'étape 553 que la valeur de détection de courant Is est supérieure à la valeur de courant différentielle 1 d 2, l'action de comptage réalisée par la minuterie est effectuée (étape 555) Puis il est déterminé si oui ou non la valeur de comptage de la minuterie a atteint une valeur établie prescrite (par exemple 20 ms) (étape 556). S'il est déterminé au niveau de l'étape 556 que la valeur de comptage de la minuterie est inférieure à la valeur établie, le processus revient au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 556 que la valeur de comptage de la minuterie a atteint la valeur établie, un signal d'invalidation d'entraînement de moteur est appliqué au circuit d'entraînement de moteur 26 pour invalider l'entraînement du moteur 27 (étape 557) et le processus revient au programme principal. Selon le sous-programme ainsi structuré de surveillance de la rotation du volant de direction, lorsque le couple d'actionnement de direction T est à l'intérieur de la zone morte, si un courant d'entraînement supérieur à la valeur de courant différentielle Idl (valeur de détection de courant Is > valeur de courant différentielle 1 d 2) continue à circuler dans le moteur 27 pendant une durée temporelle égale ou supérieure à une durée temporelle prédéterminée, la situation est déterminée comme étant une situation de défaillance de la CPU principale 21 et une commande est réalisée pour invalider l'entraînement du moteur 27. La figure 13 est un organigramme qui représente les contenus de traitement du sous-programme destiné à surveiller l'assistance de direction inversée (étape 560). Tout d'abord, il est déterminé si oui ou non l'embrayage (non représenté) destiné à transmettre la force de rotation du moteur 27 au mécanisme de direction est enclenché (étape 561). S'il est déterminé au niveau de l'étape 561 que l'embrayage n'est pas enclenché, le processus revient au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 561 que l'embrayage est enclenché, alors il est déterminé si oui ou non le couple d'actionnement de direction T est à l'intérieur de la zone morte tel qu'établie dans la section de génération de fonction 33 (étape 562). S'il est déterminé au niveau de l'étape 562 que le couple d'actionnement de direction T est à l'intérieur de la zone morte, la valeur de comptage du compteur qui compte le temps nécessaire à l'exécution du fonctionnement de sûreté intégrée (pour invalider l'entraînement du moteur 27) est mise à zéro (étape 567) puis le processus retourne au programme principal. Par ailleurs, s'il est déterminé au niveau de l'étape 562 que le couple d'actionnement de direction T n'est pas à l'intérieur de la zone morte, alors il est déterminé si oui ou non le sens du couple d'actionnement de direction T est prévu pour tourner à droite (étape 533). S'il est déterminé au niveau de l'étape 533 que le sens du 1 i O couple d'actionnement de direction T est prévu pour tourner à droite, alors il est déterminé si oui ou non le sens d'entraînement du moteur indiqué par le signal de sens d'entraînement de moteur est prévu pour tourner à gauche (étape 564) Par ailleurs, s'il est déterminé au niveau de l'étape 563 que le sens du couple d'actionnement de direction T n'est pas prévu pour tourner à droite (mais pour tourner à gauche), alors il est déterminé si oui ou non le sens d'entraînement du moteur indiqué par le signal de sens d'entraînement de moteur est prévu pour tourner à droite (étape 565). S'il est déterminé au niveau de l'étape 564 que le sens d'entraînement du moteur est prévu pour tourner à gauche (le sens d'assistance de direction est opposé au sens de direction), l'action de comptage effectuée par la minuterie est réalisée (étape 566) Par ailleurs, s'il est déterminé au niveau de l'étape 564 que le sens d'entraînement du moteur n'est pas prévu pour tourner à gauche (mais pour tourner à droite, ce qui signifie que le sens d'assistance de direction correspond au sens de direction), la valeur de comptage de la minuterie est mise à zéro (étape 567) et le processus retourne au programme principal. S'il est déterminé au niveau de l'étape 565 que le sens d'entraînement du moteur est prévu pour tourner à droite (le sens d'assistance de direction est opposé au sens de direction), l'action de comptage effectuée par la minuterie est réalisée (étape 566) Par ailleurs, s'il est déterminé au niveau de l'étape 565 que le sens d'entraînement du moteur n'est pas prévu pour tourner à droite (mais pour tourner à gauche, ce qui signifie que le sens d'assistance de direction correspond au sens de direction), la valeur de comptage de la minuterie est mise à zéro (étape 567) et le processus revient au programme principal. Lorsque l'action de comptage effectuée par la minuterie est réalisée au niveau de l'étape 566, il est déterminé si oui ou non la valeur de comptage de la minuterie a atteint une valeur établie prescrite (par exemple 20 ms) (étape 568). S'il est déterminé au niveau de l'étape 568 que la valeur de comptage de la minuterie est inférieure à la valeur établie, le processus revient au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 568 que la valeur de comptage de la minuterie a atteint la valeur établie, un signal d'invalidation d'entraînement de moteur est appliqué au circuit d'entraînement de moteur 26 pour invalider l'entraînement du moteur 27 (étape 569) puis le processus retourne au programme principal. Selon le sous-programme structuré présenté ci-avant qui est destiné à surveiller un phénomène d'assistance de direction inversée, lorsque le couple d'actionnement de direction est à l'extérieur de la zone morte, si la force d'assistance de direction dont le sens est opposé au sens de direction est appliquée pendant une durée égale ou supérieure à une durée prédéterminée, la situation est déterminée comme étant une situation d'anomalie pour le fonctionnement de la CPU principale 21 et une commande est effectuée pour invalider l'entraînement du moteur 27. La figure 14 est un organigramme qui représente les contenus de traitement du sous-programme destiné à surveiller une assistance de direction excessive (étape 570). Tout d'abord, il est déterminé si oui ou non l'embrayage (non représenté) destiné à transmettre la force de rotation du moteur 27 au mécanisme de direction est enclenché (étape 571). S'il est déterminé au niveau de l'étape 571 que l'embrayage n'est pas enclenché, le processus revient au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 571 que l'embrayage est enclenché, alors il est déterminé si oui ou non la vitesse de véhicule V est supérieure à une valeur établie (par exemple 40 km/h) (étape 572). S'il est déterminé au niveau de l'étape 572 que la vitesse du véhicule V est inférieure à la valeur établie, la valeur de comptage du compteur qui compte le temps nécessaire à l'exécution du fonctionnement de sûreté intégrée (pour invalider l'entraînement du moteur 27) est mise à zéro (étape 575) puis le processus retourne au programme principal Par ailleurs, s'il est 1 O déterminé au niveau de l'étape 572 que la vitesse du véhicule V n'est pas inférieure à la valeur établie, alors il est déterminé si oui ou non la valeur de détection de courant Is est supérieure à la somme de la valeur de courant différentielle ld 2 et de la valeur maximum de la valeur de courant cible I déterminée dans 1 5 la section de génération de fonction 33 en relation avec la vitesse du véhicule V (ci-après appelée valeur de courant maximum correspondant à une vitesse de véhicule) (étape 573). S'il est déterminé au niveau de l'étape 573 que la valeur de détection decourant Is n'est pas supérieure à la somme de la valeur de courant différentielle ld 2 et de la valeur de courant maximum correspondant à une vitesse de véhicule, la valeur de comptage de la minuterie est mise à zéro (étape 575) et le processus retourne au programme principal. Par ailleurs, s'il est déterminé au niveau de l'étape 573 que la valeur de détection de courant Is est supérieure à la somme de la valeur de courant différentielle ld 2 et de la valeur de courant maximum correspondant à une vitesse de véhicule, l'action de comptage réalisée par la minuterie est effectuée (étape 574) Puis il est déterminé si oui ou non la valeur de comptage de la minuterie a atteint une valeur établie prescrite (par exemple 20 ms) (étape 576). S'il est déterminé au niveau de l'étape 576 que la valeur de comptage de la minuterie est inférieure à la valeur établie, le processus retourne au programme principal Par ailleurs, s'il est déterminé au niveau de l'étape 576 que la valeur de comptage de la minuterie a atteint la valeur établie, un signal d'invalidation d'entraînement de moteur est appliqué au circuit d'entraînement de moteur 26 pour invalider l'entraînement du moteur 27 (étape 577) puis le processus retourne au programme principal. Selon le sous-programme structuré présenté ci-avant destiné à surveiller une assistance de direction excessive, lorsque la vitesse du véhicule est élevée, si un courant d'entraînement de moteur supérieur, de plus d'une valeur prédéterminée, à la valeur de courant maximum correspondant à une vitesse de véhicule déterminée dans la section de génération de fonction 33 en relation avec la vitesse de véhicule (c'est-à- dire si valeur de détection de courant Is > valeur de courant différentielle 1 d 2 + valeur de courant maximum correspondant à une vitesse de véhicule) continue à circuler dans le moteur 27 pendant une durée égale ou supérieure à une durée prédéterminée, la situation est déterminée comme étant une situation de défaillance pour le fonctionnement de la CPU principale 21 et une commande est exécutée pour invalider l'entraînement du moteur 27. Puisque la section de surveillance de sûreté intégrée 42 permet de détecter un disfonctionnement de la CPU principale 21 en réalisant simplement les trois types de surveillance de défaillance qui peuvent être réalisés au moyen d'opérations arithmétiques simples qui mettent en jeu une comparaison comme décrit ci-avant, la sous-CPU 22 ne doit pas nécessairement avoir une capacité de traitement équivalente à celle de la CPU principale 21 Ceci contribue à une réduction du coût de production du dispositif électrique de direction assistée. Du fait que la présente invention peut être mise en oeuvre selon plusieurs formes sans que l'on s'écarte de l'esprit de ses caractéristiques essentielles, le présent mode de réalisation est par conséquent présenté à titre d'illustration et non pas de limitation puisque le cadre de l'invention n'est pas défini par la description elle-même et toutes les modifications qui s'inscrivent dans ce cadre et tous les équivalents qui s'inscrivent également dans ce cadre sont bien entendu inclus dans la présente invention. REVENDICATIONS 1 Dispositif électrique de direction assistée, caractérisé en ce qu'il comprend: un premier moyen de commande ( 1) pour exécuter une commande relative à une assistance de direction et pour générer un signal d'impulsion de surveillance de contrôleur de séquence d'un cycle prédéterminé; et un second moyen de commande ( 2) pour exécuter une commande relative à l'assistance de direction et pour générer un signal d'impulsion de surveillance de contrôleur de séquence d'un 1 i O cycle prédéterminé, dans lequel ledit premier moyen de commande inclut un moyen pour surveiller le cycle du signal d'impulsion de surveillance de contrôleur de séquence généré depuis ledit second moyen de commande et pour détecter une anomalie dans ledit second moyen de commande ( 2) sur la base du résultat surveillé, et ledit second moyen de commande inclut un moyen pour surveiller le cycle du signal d'impulsion de surveillance de contrôleur de séquence généré depuis ledit premier moyen de commande ( 1) et pour détecter une anomalie dans ledit premier moyen de commande sur la base du résultat surveillé. 2 Dispositif électrique de direction assistée selon la revendication 1, caractérisé en ce qu'il comprend en outre: un moyen pour invalider l'assistance de direction lorsqu'une anomalie est détectée dans soit ledit premier moyen de commande, soit ledit second moyen de commande. 3 Dispositif électrique de direction assistée selon la revendication 1, caractérisé en ce qu'il comprend en outre: un moyen pour remettre à zéro ledit premier moyen de commande ou ledit second moyen de commande lorsqu'une anomalie est détectée dans l'un ou l'autre des moyens de commande. 4 Dispositif électrique de direction assistée, caractérisé en ce qu'il comprend: deux moyens de commande, chacun étant prévu pour exécuter une commande relative à une assistance de direction sur la base de la détection d'un couple de braquage de direction et d'une vitesse de véhicule, l'état de fonctionnement d'un moyen de commande étant surveillé par l'autre moyen de commande; un moyen pour invalider l'assistance de direction lorsque l'un ou l'autre desdits deux moyens de commande est déterminé 1 i O comme étant dans un état de fonctionnement en anomalie; un moyen pour libérer l'assistance de direction d'un état invalidé lorsque le moyen de commande en anomalie est déterminé comme ayant été restauré à un état de fonctionnement normal; un moyen pour déterminer si oui ou non la détection d'une vitesse de véhicule est à zéro; et un moyen pour permettre la libération de l'assistance de direction de l'état invalidé après que le moyen de commande en anomalie est restauré à l'état de fonctionnement normal seulement lorsque la détection de vitesse de véhicule est déterminée comme étant à zéro. Dispositif électrique de direction assistée selon la revendication 4, caractérisé en ce que lesdits deux moyens de commande génèrent chacun un signal d'impulsion de contrôleur de séquence d'un cycle prédéterminé. 6 Dispositif électrique de direction assistée selon la revendication, 5 caractérisé en ce que lesdits deux moyens de commande dont chacun surveille le cycle du signal d'impulsion de contrôleur de séquence généré depuis l'autre moyen de commande et détecte une anomalie dans ledit autre moyen de commande sur la base du résultat surveillé. 7 Dispositif électrique de direction assistée comportant un moyen de commande pour exécuter une commande relative à une assistance de direction, caractérisé en ce qu'il comprend: un moyen pour détecter un couple d'actionnement de direction représentant le sens et l'intensité du couple appliqué à un volant de direction; un moyen pour détecter la vitesse d'un véhicule un moteur pour produire une force d'assistance de direction; un premier moyen de commande ( 1) pour commander le sens d'entraînement dudit moteur de telle sorte que la force d'assistance de direction soit appliquée suivant le sens du couple d'actionnement de direction détecté et pour commander une valeur de courant d'entraînement pour ledit moteur de telle sorte qu'un courant d'entraînement correspondant à l'intensité du couple d'actionnement de direction détecté et à la vitesse de véhicule détectée soit appliqué audit moteur lorsque le couple d'actionnement de direction détecté est à l'extérieur d'une zone morte prédéterminée; et un second moyen de commande ( 2) pour détecter une anomalie dans ledit premier moyen de commande ( 1) en surveillant les entrées/sorties appliquées sur ledit premier moyen de commande et en provenance de celui-ci et pour invalider l'entraînement dudit moteur lorsque ledit premier moyen de commande est déterminé comme étant dans un état de fonctionnement en anomalie; dans lequel ledit second moyen de commande ( 2) inclut un moyen pour déterminer la survenue d'une anomalie dans ledit premier moyen de commande si une information de commande relative à ladite valeur de courant d'entraînement indique une valeur qui ne chute pas au- dessous d'une valeur prédéterminée lorsque le couple d'actionnement de direction détecté est à l'intérieur de la zone morte; un moyen pour déterminer la survenue d'une anomalie dans ledit premier moyen de commande si une information de commande relative au sens d'entraînement du moteur indique un sens d'assistance de direction opposé au sens du couple d'actionnement de direction détecté lorsque le couple d'actionnement de direction détecté est à l'extérieur de la zone morte; et un moyen pour déterminer la survenue d'une anomalie dans ledit premier moyen de commande si la valeur de courant d'entraînement est supérieure à une valeur prédéterminée.