FR 2766519 A1 19990129 FR 9809412 A 19980723 L'invention concerne un procédé de commande d'un moteur à combustion interne (appelé aussi ci-après plus succinctement " moteur ") comprenant un capteur-générateur de valeur, qui détecte une grandeur de fonctionnement du moteur à combustion interne et produit un signal de mesure, et un dispositif de commande qui comprend une première unité de calcul et une seconde unité de calcul dans lesquelles un programme de commande comportant un premier, un deuxième et un troisième niveaux de programmes est mis en oeuvre, selon lequel: - dans la première unité de calcul, les premier et deuxième niveaux de programme sont mis en oeuvre et le troisième niveau de programme est réparti sur la première et la seconde unités de calcul, - dans le premier niveau de programme, au moins un signal de réglage, destiné à un organe de réglage du moteur à combustion interne, est déterminé en fonction de la grandeur de fonctionnement, dans le deuxième niveau de programme, le signal de réglage est surveillé et une première fonction d'urgence est activée dans le premier niveau de programme lorsque le deuxième niveau de programme a reconnu une absence de plausibilité du signal de réglage et, - dans le troisième niveau de programme, la première unité de calcul est surveillée, un contrôle d'exécution du deuxième niveau de programme a lieu et une seconde fonction d'urgence est exécutée lorsque le troisième niveau de programme a reconnu une erreur. Un procédé de commande d'un moteur à combustion interne est connu par DE 44 38 714 A1. Un dispositif de commande, qui comprend une première et une seconde unités de calcul, est associé au moteur. Un programme de commande comporte un premier, un deuxième et un troisième niveaux de programme. Le premier et le deuxième niveaux de programme sont exécutés dans la première unité de calcul. Le troisième niveau de programme est réparti sur les première et seconde unités de calcul. Au moins un signal de réglage, destiné à un organe de réglage du moteur, est déterminé dans le premier niveau de programme en fonction d'une grandeur de fonctionnement. Dans le deuxième niveau de programme, un fonctionnement d'urgence est activé dans le premier niveau de programme lorsqu'une absence de plausibilité du signal de réglage est reconnue. Un test d'éléments de mémoire et un contrôle d'exécution du deuxième niveau de programme ont lieu dans le troisième niveau de programme. Une limitation de puissance est exécutée lorsque le troisième niveau de programme a reconnu une erreur. Si un fonctionnement d'urgence est provoqué dans le premier niveau de programme par le deuxième niveau de programme, il arrive qu'en fait, le fonctionnement d'urgence n'est éventuellement pas exécuté ou ne l'est que d'une manière défectueuse. Cette situation constitue un risque élevé pour la sécurité de conduite d'un véhicule automobile comportant le dispositif de commande, si la puissance du moteur est soumise à l'influence de l'organe de réglage, étant donné que le troisième niveau de programme ne fait que surveiller le deuxième niveau de programme. Par DE 44 38 714, il est en outre connu qu'un état d'erreur reconnu conduit à une limitation de puissance au moyen du troisième niveau de programme. Toutefois, dans la pratique, le troisième niveau de programme ne dispose que de peu d'informations, si ce n'est pas du tout, concernant les valeurs actuelles des grandeurs de fonctionnement. Par conséquent, la limitation de puissance ne peut avoir lieu que par une mise à l'arrêt du moteur. Cette situation signifie toutefois une perte considérable de confort de conduite et peut avoir pour suite une fiabilité inutilement réduite du dispositif de commande. L'invention a pour but de perfectionner le procédé connu de commande d'un moteur à combustion interne d'une façon telle qu'un fonctionnement sûr et fiable du moteur soit assuré, avec simultanément un confort de conduite élevé. A cet effet, l'invention a pour objet un procédé, du type générique défini en introduction, qui est caractérisé: - en ce que le deuxième niveau de programme fait exécuter au troisième niveau de programme la seconde fonction d'urgence lorsque, en supposant que la première fonction d'urgence est exécutée dans le premier niveau de programme, l'absence de plausibilité du signal de réglage est en outre reconnue. Le procédé de commande de moteur conforme à l'invention peut aussi présenter une ou plusieurs des particularités suivantes: - dans le deuxième niveau de programme, la première fonction d'urgence est activée dans le premier niveau de programme lorsque le deuxième niveau de programme a reconnu une absence de plausibilité du signal de mesure, dans le deuxième niveau de programme, un couple effectif est déterminé en fonction du signal de réglage, un couple demandé est déterminé en fonction du signal de mesure et de demandes de couple extérieures et la première fonction d'urgence est activée dans le premier niveau de programme lorsque le deuxième niveau de programme a reconnu une absence de plausibilité entre le couple effectif et le couple demandé, et le deuxième niveau de programme fait exécuter au troisième niveau de programme la seconde fonction d'urgence lorsque, en supposant que la première fonction d'urgence est exécutée dans le premier niveau de programme, l'absence de plausibilité entre le couple effectif et le couple demandé est en outre reconnue, - le deuxième niveau de programme fait exécuter au troisième niveau de programme la seconde fonction d'urgence lorsque l'absence de plausibilité est reconnue plus longtemps qu'une durée préfixée, - la première fonction d'urgence est une limitation de régime du moteur à combustion interne, - la seconde fonction d'urgence est une mise à l'arrêt du moteur à combustion interne, - dans le deuxième niveau de programme, en des emplacements préfixés de programme, une modification préfixée respective de la valeur d'une variable de contrôle a lieu pour chaque emplacement, le deuxième niveau de programme modifie en outre la valeur de la variable de contrôle lorsque, en supposant que la première fonction d'urgence est exécutée dans le premier niveau de programme, une absence de plausibilité du signal de réglage ou entre le couple effectif et le couple demandé est reconnue, et le contrôle d'exécution a lieu en fonction de la variable de contrôle, et - l'organe de réglage est un papillon des gaz. Des exemples de mise en oeuvre de l'invention sont exposés ci-après en regard des dessins schématiques. On voit: à la figure 1, un moteur à combustion interne comportant un dispositif de commande, à la figure 2, un schéma-bloc du dispositif de commande et, à la figure 3, un ordinogramme d'un programme de commande dans un deuxième niveau de programme. Les éléments ayant les mêmes structure et fonction sont désignés par les mêmes repères sur toutes les figures. Un moteur à combustion interne (figure 1) comprend une ligne d'admission 1 comportant un papillon des gaz 10 et un bloc moteur 2 qui comporte un cylindre 1 et un vilebrequin 23. Un piston 21 et une bielle 22 sont associés au cylindre 20. La bielle 22 est solidaire du piston 21 et du vilebrequin 23. Il est prévu une tête de culasse 3 dans laquelle est disposé un mécanisme de soupapes comprenant au moins une soupape d'admission 30, une soupape d'échappement 31 et respectivement un entraînement de soupape 32a associé à la soupape d'admission 30 et un entraînement de soupape 32b associé à la soupape d'échappement. Chacun des entraînements de soupape 32a, 32b comprend un arbre à cames, non représenté, comportant un dispositif de transmission qui transmet la course de came respectivement à la soupape d'admission 30 ou la soupape d'échappement 31. Il peut aussi être prévu des dispositifs servant au réglage des durées de course de soupape et de la loi de course de soupape dans le temps. En variante, il peut aussi être prévu, pour chacune des soupapes respectivement d'admission et d'échappement 31, un actionneur électromagnétique respectif qui commande la loi de la course de soupape associée dans le temps. Un injecteur 11 est monté dans la ligne d'admission 1, cet injecteur étant disposé de façon telle que le carburant est introduit d'une manière dosée dans la ligne d'admission 1. Toutefois, en variante, l'injecteur peut aussi être monté dans la tête de culasse 3 et y être disposé de façon telle que le carburant est introduit d'une manière dosée directement dans la chambre du cylindre 20. Une bougie d'allumage 34 est montée dans une partie en retrait de la tête de culasse 3. Le moteur peut aussi être réalisé sous forme d'un moteur à combustion interne à auto-allumage. Il n'est alors pas prévu de bougie d'allumage 34 et, à la place de l'injecteur, il est éventuellement prévu une buse d'injection. Le moteur est représenté à la figure 1 avec un seul cylindre. Il peut toutefois comprendre aussi plusieurs cylindres. Une ligne d'échappement 4 comportant un catalyseur 40 est associée au moteur. Il est prévu un dispositif 5 de commande du moteur auquel sont associés des capteurs (capteurs-générateurs de valeur) qui détectent différentes grandeurs à mesurer, relèvent chacun la valeur mesurée et produisent chacun un signal de mesure. Le dispositif de commande 5 détermine, en fonction d'au moins une grandeur de fonctionnement, un ou plusieurs signaux de réglage qui commandent chacun un appareil de réglage respectif. Les capteurs sont un capteur de position de pédale 61, qui relève une position de pédale PV de la pédale d'accélérateur 6, un capteur de position de papillon des gaz 12, qui relève un degré d'ouverture du papillon des gaz, un débitmètre d'air 13, qui relève un débit massique d'air MAF, et/ou un capteur de pression de tuyau d'admission 14, qui relève une pression de tuyau d'admission MAP dans la ligne d'admission 1, un capteur de température 15, qui relève une température d'air d'admission et un capteur de régime 24 qui relève la vitesse de rotation N du vilebrequin 23. Un certain nombre choisi, plus faible, des capteurs mentionnés peuvent être associés au dispositif de commande 5 ou il peut aussi lui être associé des capteurs supplémentaires. Les grandeurs de fonctionnement comprennent les grandeurs mesurées et des grandeurs déduites de celles-ci, telles qu'une pression ambiante, qui sont déterminées au moyen d'une relation par table caractéristique ou par un observateur qui calcule des valeurs estimées des grandeurs de fonctionnement. Les appareils de réglage comprennent chacun un entraînement de réglage et un organe de réglage. L'entraînement de réglage est un entraînement par moteur électrique, un entraînement électromagnétique, un entraînement mécanique ou un autre entraînement connu du spécialiste. Les organes de réglage sont réalisés sous la forme du papillon des gaz 10, de l'injecteur 11, de la bougie d'allumage 34 ou d'un dispositif de réglage servant à régler la course des soupapes d'admission ou d'échappement. Dans ce qui suit, on se réfère aux appareils de réglage chaque fois au moyen de l'organe de réglage associé. Le dispositif de commande est de préférence réalisé sous forme d'une commande de moteur de type électronique. Il peut toutefois comporter aussi plusieurs appareils de commande qui sont reliés entre eux d'une manière électriquement conductrice, comme par exemple au moyen d'un système de bus. La figure 2 représente un schéma-bloc du dispositif de commande 5. Le dispositif de commande 5 comporte une première unité de calcul 51 et une seconde unité de calcul 52 dans lesquelles est exécuté un programme de commande comportant un premier, un deuxième et un troisième niveaux de programme El, E2, E3. Un convertisseur analogique/numérique 511 est associé à la première unité de calcul, ce convertisseur numérisant les signaux de mesure. Le premier et le deuxième niveaux de programme sont exécutés dans la première unité de calcul 51. Le troisième niveau de programme est réparti sur la première et la seconde unités de calcul 51, 52. Des signaux de réglage destinés au papillon des gaz 10, à l'injecteur 11 et à la bougie d'allumage 34, et de préférence aux autres organes de réglage, sont déterminés dans le premier niveau de programme El en fonction des grandeurs de fonctionnement. Par ailleurs, des fonctions de diagnostic, telles que par exemple un diagnostic du capteur de position de pédale, sont exécutées dans le premier niveau de programme. Les signaux de réglage sont envoyés à des étages de sortie 53, 54 qui amplifient chacun un signal de réglage respectif. Dans le deuxième niveau de programme, les signaux de réglage sont surveillés et une première fonction d'urgence NL1 est activée dans le premier niveau de programme El lorsque le deuxième niveau de programme E2 a reconnu une absence de plausibilité dans l'un des signaux de réglage, dans l'un des signaux de mesure ou entre un couple effectif et un couple demandé. Le couple effectif est déterminé en fonction d'au moins un signal de réglage, de préférence en fonction d'un signal d'allumage (angle d'avance à l'allumage) et de la durée d'injection ou aussi en fonction du signal d'allumage et des signaux de mesure que sont le régime N et le débit massique d'air. Le couple demandé est déterminé à partir d'une valeur de perte de couple, qui dépend du débit massique d'air, du régime N et/ou d'une température d'agent de refroidissement, à partir d'un couple souhaité, qui dépend de la valeur de pédale d'accélérateur PV, à partir de demandes de couple extérieures, par exemple en provenance d'un régulateur antiglissement, d'un régulateur de ralenti, d'un régulateur de couple moteur ou d'un régulateur de vitesse et en prenant en compte le fait que la première fonction d'urgence devrait ou non être activée. La première fonction d'urgence NL1 est de préférence une limitation de régime servant à commander un moteur à combustion interne. Cela assure une conduite d'urgence confortable dans laquelle le conducteur du véhicule dans lequel le moteur est disposé peut rouler avec le véhicule jusqu'à une station-service. Le deuxième niveau de programme E2 est exposé en détail ci-après en regard de la figure 3. Le troisième niveau de programme E3a, E3b est réparti sur la première et la seconde unités de calcul. La partie du niveau de programme E3b qui est exécutée sur l'unité de calcul 52 est appelée ci-après "chien de garde". Le troisième niveau de programme E3a, E3b surveille la première unité de calcul 51. A cet effet, il teste les éléments de mémoire de cette première unité de calcul 51. Par ailleurs, il appelle périodiquement des fonctions qui exécutent des ordres de calcul dans la première unité de calcul 51 et il surveille l'exécution de ceux-ci. Un contrôle d'exécution du deuxième niveau de programme E2 a lieu dans le troisième niveau de programme E3. A cet effet, la valeur momentanée d'une variable de contrôle est comparée, chaque fois après une durée préfixée, à une valeur préfixée. La valeur de la variable de contrôle est modifiée dans le deuxième niveau de programme E2 en des emplacements de programme préfixés. La valeur préfixée de la variable de contrôle est la valeur que cette variable de contrôle a lorsque les fonctions de logiciel du deuxième niveau de programme sont exécutées sans erreur pendant la durée préfixée. Si le troisième niveau de programme E3 constate que la valeur de la variable de contrôle s'écarte de la valeur préfixée, il active alors une seconde fonction d'urgence. Cette seconde fonction d'urgence est de préférence une mise à l'arrêt du moteur. A cet effet, les étages de sortie 53 et 54 sont désactivés. Il en résulte que le signal de réglage THR_S correspondant au degré d'ouverture du papillon des gaz 10 et le signal d'injection INJ_S correspondant à l'injecteur 11 ne sont plus amplifiés et qu'ainsi, le débit massique d'air MAF est réduit et qu'il n'est plus acheminé de carburant d'une manière dosée. La seconde unité de calcul est de préférence réalisée sous forme d'un microcontrôleur d'un prix avantageux. La figure 3 représente un ordinogramme du deuxième niveau de programme E2 du programme de commande. Le début a lieu à un pas Sl auquel les valeurs momentanées de la variable de contrôle KV et d'un compteur Z sont lues dans une mémoire. Une modification de la valeur de contrôle KV a lieu à un pas S2. La variable de contrôle KV est multipliée par la valeur deux. Toutefois, la variable de contrôle KV peut aussi être modifiée en valeur au moyen d'une autre opération quelconque de calcul préfixée. Une telle modification de la valeur de la variable de contrôle KV a lieu aussi en d'autres emplacements de programme préfixés dans le deuxième niveau de programme E2. Le niveau de programme E3 vérifie, à l'aide de la valeur de la variable de contrôle KV, si tous les emplacements de programme considérés ont été exécutés correctement et en déduit le fonctionnement correct ou incorrect du deuxième niveau de programme E2. Les signaux de mesure et/ou les signaux de réglage qui ont été déterminés dans le premier niveau de programme El font l'objet d'un examen de plausibilité à un pas S3. Cela s'effectue par exemple dans le cadre d'une surveillance de couple. Le couple demandé par le premier niveau de programme El sur un arbre de la ligne d'entraînement, de préférence le vilebrequin, est comparé au couple effectif, lequel est déterminé par le deuxième niveau de programme E2. Si les couples s'écartent l'un de l'autre d'une valeur supérieure à une valeur de seuil préfixée, il en est déduit l'existence d'une erreur dans le premier niveau de programme El. Par ailleurs, un examen de plausibilité du capteur de position de pédale 61, qui est de préférence réalisé à deux canaux, peut avoir lieu dans le deuxième niveau de programme. A un pas S4, il est examiné si une erreur du premier niveau de programme E1 a été reconnue au pas S3. Si le premier niveau de programme El est sans erreur, on bifurque vers un pas S5 auquel le compteur Z est chargé d'une valeur d'initialisation INI et le traitement se termine au pas S6. Si, en revanche, une erreur est reconnue au pas S3, le traitement se poursuit, après le pas S4, au pas S7 auquel il est examiné si le compteur Z a une valeur qui est supérieure à l'autre valeur de seuil SW. Si tel n'est pas le cas, à un pas S8, il est requis du premier niveau de programme El d'exécuter la première fonction d'urgence NL1. A un pas S9, le compteur Z est augmenté de un ou d'une autre valeur quelconque. Si la condition du pas S7 est remplie, la variable de contrôle KV est augmentée de la valeur de variation DW à un pas S10. Il en résulte que la valeur de la variable de contrôle KV lors d'une analyse par le troisième niveau de programme E3 n'a pas la valeur préfixée et qu'ainsi, la seconde fonction d'urgence est exécutée. L'avantage en est que, sans ligne de données supplémentaire, le niveau de programme E3 peut être amené à exécuter la seconde fonction d'urgence et que cette seconde fonction d'urgence ne peut être exécutée que lorsque la première fonction d'urgence n'est pas activée malgré plusieurs demandes de la part du deuxième niveau de programme E2. Toutefois, en variante, il peut aussi être prévu une ligne de données séparée par laquelle le troisième niveau de programme E3 est amené à exécuter la seconde fonction d'urgence. L'invention n'est pas limitée aux exemples de réalisation décrits. c'est ainsi qu'en variante, le deuxième niveau de programme peut aussi désactiver l'étage de sortie 53 et que seul l'étage de sortie 54 est uniquement désactivé par le troisième niveau de programme. En variante, la première fonction d'urgence peut être une limitation de vitesse ou une limitation d'accélération. La seconde fonction d'urgence peut comprendre aussi une coupure de la première unité de calcul. REVENDICATIONS 1. Procédé de commande d'un moteur à combustion interne comprenant un capteur, qui détecte une grandeur de fonctionnement du moteur à combustion interne et produit un signal de mesure, et un dispositif de commande (5) qui comprend une première unité de calcul (51) et une seconde unité de calcul (52) dans lesquelles un programme de commande comportant un premier, un deuxième et un troisième niveaux de programmes (El, E2, E3a, E3b) est mis en oeuvre, selon lequel: - dans la première unité de calcul (51), les premier et deuxième niveaux de programme (El, E2) sont mis en oeuvre et le troisième niveau de programme (E3a, E3b) est réparti sur la première et la seconde unités de calcul (51, 52), - dans le premier niveau de programme (El), au moins un signal de réglage, destiné à un organe de réglage du moteur à combustion interne, est déterminé en fonction de la grandeur de fonctionnement, - dans le deuxième niveau de programme (E2), le signal de réglage est surveillé et une première fonction d'urgence (NL1) est activée dans le premier niveau de programme (El) lorsque le deuxième niveau de programme (E2) a reconnu une absence de plausibilité du signal de réglage et, - dans le troisième niveau de programme (E3), la première unité de calcul (51) est surveillée, un contrôle d'exécution du deuxième niveau de programme (E2) a lieu et une seconde fonction d'urgence est exécutée lorsque le troisième niveau de programme (E3a, E3b) a reconnu une erreur, caractérisé: - en ce que le deuxième niveau de programme (E2) fait exécuter au troisième niveau de programme (E3a, E3b) la seconde fonction d'urgence lorsque, en supposant que la première fonction d'urgence (NL1) est exécutée dans le premier niveau de programme (El), l'absence de plausibilité du signal de réglage est en outre reconnue. 2. Procédé suivant la revendication 1, caractérisé - en ce que, dans le deuxième niveau de programme (E2), la première fonction d'urgence (NL1) est activée dans le premier niveau de programme (El) lorsque le deuxième niveau de programme (E2) a reconnu une absence de plausibilité du signal de mesure. 3. Procédé suivant la revendication 1 ou 2, caractérisé - en ce que, dans le deuxième niveau de programme (E2), un couple effectif est déterminé en fonction du signal de réglage, un couple demandé est déterminé en fonction du signal de mesure et de demandes de couple extérieures et la première fonction d'urgence (NL1) est activée dans le premier niveau de programme (El) lorsque le deuxième niveau de programme (E2) a reconnu une absence de plausibilité entre le couple effectif et le couple demandé, et en ce que le deuxième niveau de programme (E2) fait exécuter au troisième niveau de programme (E3a, E3b) la seconde fonction d'urgence lorsque, en supposant que la première fonction d'urgence (NLI) est exécutée dans le premier niveau de programme (El), l'absence de plausibilité entre le couple effectif et le couple demandé est en outre reconnue. 4. Procédé suivant l'une des revendications 1 à 3, caractérisé en ce que le deuxième niveau de programme (E2) fait exécuter au troisième niveau de programme (E3a, E3b) la seconde fonction d'urgence lorsque l'absence de plausibilité est reconnue plus longtemps qu'une durée préfixée. 5. Procédé suivant l'une des revendications 1 à 4, caractérisé en ce que la première fonction d'urgence (NL1) est une limitation de régime du moteur à combustion interne. 6. Procédé suivant l'une des revendications 1 à 5, caractérisé en ce que la seconde fonction d'urgence est une mise à l'arrêt du moteur à combustion interne. 7. Procédé suivant l'une des revendications 1 à 6, caractérisé en ce que, dans le deuxième niveau de programme (E2), en des emplacements préfixés de programme (S2), une modification préfixée respective de la valeur d'une variable de contrôle (KV) a lieu pour chaque emplacement, en ce que le deuxième niveau de programme (E2) modifie en outre la valeur de la variable de contrôle (KV) lorsque, en supposant que la première fonction d'urgence (NL1) est exécutée dans le premier niveau de programme (El), une absence de plausibilité du signal de réglage ou entre le couple effectif et le couple demandé est reconnue et en ce que le contrôle d'exécution a lieu en fonction de la variable de contrôle (KV). 8. Procédé suivant l'une des revendications 1 à 7, caractérisé en ce que l'organe de réglage est un papillon des gaz (10).