FR 2756944 A1 19980612 FR 9715199 A 19971203 Etat de la technique L'invention concerne un appareil de contrôle pour contrôler un appareil de commande retraitant des données dans un mode normal et examinant les données avant le retraitement quant à leur plausibilité et en fonction de l'examen passe dans un mode de défauts, dans lequel les données non plausi- bles sont remplacées par des données de remplacement. On connaît déjà des appareils de contrôle servant à contrôler des appareils de commande, dans lesquels les ap- pareils de commande examinent les données qui s'y trouvent quant à leur plausibilité. En fonction de ce contrôle de plausibilité les données le cas échéant non plausibles sont remplacées par des données de remplacement. Pour contrôler l'appareil de commande on doit dans ce cas éviter que l'appa-15 reil de commande opère avec les données de remplacement. On parvient à ceci en mettant en mémoire dans l'appareil de con- trôle une suite de données de test, qui consiste en des don- nées qui sont écrites en même temps dans le cas d'une situation réelle de fonctionnement. Dans le cas d'un appareil20 de commande qui est fait pour être utilisé dans un véhicule à moteur, ceci peut avoir lieu par exemple en écrivant en même temps toutes les données d'un parcours d'essai. Avantages de l'invention L'appareil de contrôle selon l'invention est ca- ractérisé en ce qu'il produit des données de contrôle, qui sont retraitées par l'appareil de commande; l'appareil de contrôle reçoit d'autres données, qui sont également retrai- tées par l'appareil de commande; et les données de contrôle déterminées par l'appareil de contrôle sont plausibles par rapport aux autres données, et a par contre l'avantage que l'on peut prédéfinir d'autres données pour l'appareil de com- mande à contrôler et qu'ensuite l'appareil de contrôle four- nit des données de contrôle plausibles disponibles. On peut de cette façon examiner des fonctions individuelles de l'ap- pareil de commande de façon appropriée. Comme les données de contrôle produites sont toujours plausibles par rapport aux autres données, on évite que l'appareil de commande ne passe dans le mode de défauts, dans lequel une partie des données doit être remplacée par des données de remplacement. On peut de cette façon contrôler chaque fonction de l'appareil de commande, sans que de cette façon ait lieu un passage dans le mode de défauts. Selon d'autres caractéristiques de l'invention: - la plausibilité des données de contrôle est déterminée en comparant au moins une donnée de contrôle à au moins une donnée et aux autres données. - l'appareil de contrôle présente une interface sérielle. - les données de contrôle peuvent être envoyées à travers l'interface à l'appareil de commande - l'interface est conçue pour transmettre des données selon le protocole Can. -l'appareil de contrôle simule d'autres appareils de com- mande, qui sont prévus pour coopérer avec l'appareil de commande. -l'appareil de contrôle présente une partie qui est un ordi- nateur servant à exécuter un programme servant à produire les données de contrôle. - ce programme correspond à un programme de l'appareil de commande qui sert à produire des données de remplacement. La plausibilité des données est particulièrement simple à déterminer en effectuant une comparaison avec les autres données. L'échange des données de contrôle entre l'ap- pareil de contrôle et l'appareil de commande a lieu d'une ma- nière particulièrement simple à travers une interface sérielle, qui est en particulier conçue d'après le protocole Can. L'appareil de contrôle simule dans ce cas un certain nombre d'autres appareils de commande, qui sont prévus pour coopérer avec l'appareil de commande à examiner. Un appareil de contrôle universel est en particulier réalisé en utilisant un microprocesseur pour exécuter un programme. Ce programme peut être en particulier tirer simplement du programme de l'appareil de commande pour produire les données de remplace- ment. Ceci a lieu grâce au fait qu'en faisant une inversion à partir du programme qui sert à produire les données de rem- placement on forme le programme de l'appareil de contrôle. Dessins L'invention va être décrite ci-après plus en dé- tail, à partir d'un exemple de réalisation, représenté sur les dessins annexés, sur lesquels: - la figure 1 montre un appareil de contrôle, qui est relié à un appareil de commande, - la figure 2 montre un appareil de commande, qui est relié par un système de bus avec d'autres appareils de commande et - la figure 3 montre le déroulement d'un programme de l'appa- reil de commande. Description Sur la figure 1 on a indiqué un appareil de com- mande 1, qui présente une partie d'ordinateur 2 et une inter- face 3. L'appareil de commande 1 présente d'autres entrées 8. L'interface est conçue pour communiquer au moyen d'un bus de données 4. L'interface 3 est reliée au moyen du bus de don- nées 4 à une interface 6 d'un appareil de contrôle 5. En ou- tre l'appareil de contrôle 5 présente une partie d'ordinateur 7 et d'autres entrées 8. L'appareil de contrôle 5 et l'appareil de com- mande 1 présentent ici respectivement une partie d'ordinateur 2, 7 et une interface 3, 6. Dans le cas de la partie d'ordi- nateur 2, 7 il s'agit d'un microprocesseur ainsi que des cir- cuits qui en font partie comme par exemple les éléments de mémoire. Les interfaces 3, 6 servent à permettre un échange de données au moyen du bus 4 entre l'appareil de commande 1 et l'appareil de contrôle 5. Avant de décrire plus en détail l'appareil de contrôle 5 on va d'abord présenter sur les figures 2 et 3 le mode de fonctionnement de l'appareil de commande. Sur la figure 2 on a indiqué à nouveau l'appareil de commande 1, il est relié toutefois sur la figure 2 au moyen du bus 4 à deux autres appareils de commande 20, 30. Chacun de ces autres appareils de commande présente une in- terface 21, 31 et une partie d'ordinateur 22, 32. En outre les autres appareils de commande 20, 30 présentent aussi des entrées supplémentaires 8 sur lesquelles peuvent se trouver des données. La liaison de plusieurs appareils de commande, comme on l'a représentée sur la figure 2, est prévue pour la commande de processus complexe, comme ceux qui se produisent par exemple dans les véhicules à moteur. Dans le cas de l'appareil de commande 1 il peut s'agir par exemple d'un appareil de commande d'un moteur, qui calcule l'instant de l'allumage. Dans le cas de l'autre appa- reil de commande 20 il peut s'agir par exemple d'une commande du clapet d'étranglement du moteur, dont l'appareil de com- mande 1 calcule l'instant de l'allumage. L'autre appareil de commande 30 peut par exemple être une commande pour une boîte de vitesse automatique. Dans le cas d'une liaison de ce type d'appareils de commande des données sont alors échangées via le bus 4 pour coordonner la coopération des appareils de com- mande 1, 20, 30. L'appareil de commande 1 peut par exemple enregistrer sur ses entrées 8 des informations sur la vitesse de rotation N et la charge L du moteur. Ces données doivent alors aussi être prises en considération par l'appareil de commande 20, qui règle la position du clapet d'étranglement. L'appareil de commande 20 enregistre à son tour sur son en- trée 8 d'autres données, il calcule à partir de la vitesse de rotation N, de la charge L et des autres données, l'angle a de rotation du clapet d'étranglement et il transmet l'angle a de rotation du clapet d'étranglement via l'interface 21 et le bus 4 à l'appareil de commande 1, qui prend en considération cet angle lors du calcul de l'instant de l'allumage. Toute- fois avant le calcul de cet instant de l'allumage on contrôle avec l'appareil de commande 1 toutes les données quant à leur plausibilité. On a représenté ceci à la figure 3. Sur la figure 3 on a représenté d'une façon for- tement simplifiée in diagramme du déroulement du calcul de l'instant de l'allumage. Dans un premier bloc de programme 51 a lieu l'appel du module de programme qui effectue le calcul de l'instant de l'allumage. Lors d'une séquence suivante du programme 52 on contrôle alors si l'appareil de commande 1 se trouve dans le mode normal ou dans le mode de défauts. Pour cela on interroge un enregistrement correspondant dans une mémoire dans l'appareil de commande 1. On part d'abord du fait que l'appareil de commande se trouve dans le mode nor- mal, de telle sorte que le bloc de programme 53 fait suite au5 bloc de programme 52. Dans le bloc de programme 53 on con- trôle les données quant à leur plausibilité. Dans le cas de l'exemple présent cela consiste à comparer la vitesse de ro- tation N, la charge L du moteur et l'angle de rotation du clapet d'étranglement a les uns aux autres. A la base de10 cette considération il y a le fait que ces trois valeurs ne sont pas indépendantes les unes des autres dans des limites déterminées. Par exemple quand le moteur fonctionne à pleine charge la vitesse de rotation ne peut pas être nulle. Quand il ressort du contrôle dans le bloc de programme 53 que tou- tes les données sont plausibles les unes par rapport aux au- tres, la séquence de programme 54 se déroule alors, en calculant avec les données ainsi contrôlées un résultat, dans ce cas une valeur pour l'instant de l'allumage. Sur le bloc de programme 54 suit alors la fin du module de programme dans le bloc de programme 55. S'il ressort, lors du contrôle des données dans le bloc de programme 53, que les données ne sont pas plausibles, on procède alors à un enregistrement corres- pondant à l'emplacement de la mémoire prévu pour cela et on ressaute au bloc de programme 52. Comme l'appareil de com- mande fonctionne alors en mode de défauts, le bloc de pro- gramme 56 fait suite au bloc de programme 52, bloc de programme 56 lors duquel des données de remplacement sont dé- terminées. Quand par exemple on constate que les valeurs de l'angle a de rotation du clapet d'étranglement n'ont pas de sens, c'est-à-dire ne sont pas plausibles, on produit des va- leurs de remplacement pour cet angle de rotation du clapet d'étranglement a. Ceci peut par exemple avoir lieu en prenant en considération la vitesse de rotation N et la charge L, en calculant en fonction de ces valeurs une valeur de remplace- ment pour l'angle a. Ceci peut aussi avoir lieu sous la forme d'un champ caractéristique, en mesurant lors de la programma- tion de l'appareil de commande des valeurs moyennes pour l'angle a en fonction de la charge L et de la vitesse de ro- tation N. L'appareil de commande 1 calcule alors avec cette valeur de remplacement de l'angle a de rotation du clapet d'étranglement, la vitesse de rotation N et la charge L dans le bloc de programme 57 un résultat, c'est-à-dire une valeur5 de l'instant de l'allumage. Cette valeur peut dans ce cas pour des états de fonctionnement déterminés s'écarter de la valeur qui aurait été calculée dans le bloc de programme 54, de telle sorte que le moteur ne fonctionne plus à son point optimal de marche. La valeur de remplacement doit toutefois10 être choisie de telle sorte que l'on ait au moins l'assurance d'avoir un fonctionnement suffisant du moteur. On peut avoir ainsi l'assurance qu'en cas de défaillance partielle du sys- tème représenté sur la figure 2, on peut encore exercer un fonctionnement satisfaisant des commandes. Des fonctionne-15 ments en réserve de ce type dans un module de défauts peuvent constituer en moyenne 50% des logiciels d'un appareil de com- mande, car on doit prendre en considération un certain nombre de différentes défaillances partielles du système. Le pro- blème dans ce cas est que du fait de ces fonctionnements en réserve dans le mode de défauts, on alourdit de façon pronon- cée le contrôle d'un appareil de commande. Quand on met en mémoire dans la mémoire correspondante pour un module de pro- gramme déterminé le module de défauts, on ne peut plus con- trôler, lors d'un contrôle de l'appareil de commande 1 le mode normal, que l'on a sur la figure 3 par la suite des blocs de programme 52 à 55. Ainsi quand un appareil indivi- duel de commande 1, qui est prévu pour fonctionner dans une liaison d'appareils de commande avec plusieurs autres appa- reils de commande 20, 30, doit être contrôlé, on doit prédé- finir toutes les données nécessaires au fonctionnement de l'appareil de commande 1 de façon plausible les unes par rap- port aux autres. Ceci est rendu possible par l'appareil de contrôle selon la figure 1. L'appareil de contrôle 5, représenté à la figure 1, est constitué de telle sorte qu'il est relié au moyen du bus 4 à l'appareil de commande à contrôler 1. L'appareil de contrôle 5 reçoit en outre toutes les données que reçoit aus- si l'appareil de commande 1 pour le contrôle de plausibilité des données. Dans le présent exemple du calcul de l'instant de l'allumage à partir de la vitesse de rotation N, de la charge L et de l'angle de rotation a du clapet d'étranglement on opère ainsi de telle sorte que la vitesse de rotation N et5 la charge L sont également amenées à l'appareil de contrôle 5. En fonction de ces deux valeurs l'appareil de contrôle 5 calcule alors un angle plausible de rotation a du clapet d'étranglement et l'envoie au moyen du bus 4 à l'appareil de commande 1. On fournit à l'appareil de commande 1 la vitesse10 de rotation N et la charge L aux entrées 8. On fournit à l'appareil de contrôle 5 ces valeurs soit aux entrées 8, soit on envoie ces données à l'appareil de contrôle 5 au moyen du bus 4 par l'appareil de commande 1. Quand on doit alors contrôler l'appareil de com- mande 1, en ce qui concerne le calcul de l'instant de l'allu- mage, on relie l'appareil de commande 1 au moyen du bus à l'appareil de contrôle 5. Le contrôleur peut alors prédéfinir sur les entrées 8 des valeurs pour la vitesse de rotation N et la charge L, des valeurs plausibles, c'est-à-dire des va-20 leurs qui conviennent étant alors calculées par l'appareil de contrôle 5 pour l'angle de rotation a du clapet d'étrangle- ment et fournies à l'appareil de commande 1. Comme l'appareil de contrôle 5 présente une par- tie d'ordinateur 7, l'appareil de contrôle calculera les don- nées de contrôle, dans l'exemple discuté ici l'angle de rotation a du clapet d'étranglement, de façon particulière- ment simple au moyen d'un programme. Ce programme peut dans ce cas se composer simplement du bloc de programme 56, comme on l'a décrit à la figure 3, c'est-à-dire qu'on peut utiliser la partie du programme, qui est utilisée dans l'appareil de commande 1 pour déterminer les données de remplacement, dans l'appareil de contrôle 5 pour déterminer les données de con- trôle. Le programme pour l'appareil de contrôle 5 peut de cette façon être déterminé de façon relativement simple à partir du programme pour l'appareil de commande 1. Quand l'appareil de commande 1, comme on l'a représenté sur la fi- gure 2, est utilisé avec plusieurs autres appareils de com- mande différents 20 et 30, le programme de l'appareil de contrôle 5 est naturellement aussi construit de façon com- plexe. Dans ce cas il n'en demeure pas moins au fond, que le programme de l'appareil de contrôle peut être déterminé par dérivation du programme de l'appareil de commande 1. Ceci a lieu grâce au fait que par inversion on forme à partir du programme servant à la production de données de remplacement le programme de l'appareil de contrôle. R E V E N D I C A T IONS 1 ) Appareil de contrôle (5) pour contrôler un appareil de commande (1), l'appareil de commande (1) retraitant des don- nées dans un mode normal et examinant les données avant le5 retraitement quant à leur vraisemblance et en fonction de l'examen passant dans un mode de défauts, dans lequel les données invraisemblables sont remplacées par des données de remplacement, caractérisé en ce que - l'appareil de contrôle (5) produit des données de contrôle, qui sont retraitées par l'appareil de commande (1), - l'appareil de contrôle (5) reçoit d'autres données, qui sont également retraitées par l'appareil de commande (1) et - les données de contrôle déterminées par l'appareil de con- trôle (5) sont plausibles par rapport aux autres données. 2 ) Appareil de contrôle selon la revendication 1, caractérisé en ce que la plausibilité des données de contrôle est déterminée en comparant au moins une donnée de contrôle à au moins une don- née et aux autres données. 3 ) Appareil de contrôle selon la revendication 1 ou 2, caractérisé en ce que - l'appareil de contrôle (5) présente une interface sérielle (6) et les données de contrôle peuvent être envoyées à travers l'interface (6) à l'appareil de commande (1) 4 ) Appareil de contrôle selon la revendication 3, caractérisé en ce que l'interface (6) est conçue pour transmettre des données selon le protocole Can. 5 ) Appareil de contrôle selon la revendication 1 à 4, caractérisé en ce que l'appareil de contrôle (5) simule d'autres appareils de com- mande (20, 30), qui sont prévus pour coopérer avec l'appareil de commande (1). 6 ) Appareil de contrôle selon la revendication 1, caractérisé en ce que l'appareil de contrôle (5) présente une partie (7) qui est un ordinateur servant à exécuter un programme servant à produire les données de contrôle, et - ce programme correspond à un programme de l'appareil de commande (1) qui sert à produire des données de remplace- ment.