FR 2773623 A1 19990716 FR 9816127 A 19981221 La présente invention concerne un procédé de surveillance d'une commande d'un organe de réglage, en particulier dans un véhicule automobile. Des procédés de surveillance d'une commande d'un organe de réglage sont nécessaires, en particulier dans le domaine de la technique automobile, quand des fonctions critiques concernant la sécurité sont commandées par l'organe de réglage. Cela est, par exemple, le cas de la commande de la puissance du moteur ou de la commande du système de freinage automatique. Par le document DE 42 20 247 Al, on connaît un dispositif de commande pour véhicules automobiles, dans lequel deux éléments de calcul sont prévus pour exécuter au moins la même fonction de commande. En plus de la fonction de commande, chaque élément de calcul dispose d'une mesure pour surveiller la capacité de fonctionnement, chaque élément de calcul exécutant la mesure de surveillance exclusivement et indépendamment de l'autre élément de calcul. Le dispositif de commande est ainsi relativement coûteux. Le but de l'invention est de mettre à disposition un procédé particulièrement simple de surveillance d'un organe de réglage. Ce problème est résolu selon l'invention par le fait que le procédé consiste en ce qu'une première unité de calcul détermine, à partir de valeurs d'entrée, une valeur de consigne pour un organe de réglage, la première unité de calcul relève la valeur réelle de l'organe de réglage et commande l'organe de réglage en fonction de la différence entre la valeur réelle et la valeur de consigne, la première unité de calcul transmet la valeur de consigne à une deuxième unité de calcul, la deuxième unité de calcul relève la valeur réelle de l'organe de réglage et la compare à la valeur de consigne appliquée, et la deuxième unité de calcul reconnaît, à partir de la comparaison, un fonctionnement défectueux de la première unité de calcul si la valeur réelle diffère de la valeur de consigne de plus d'une valeur de limite prédéfinie. Un avantage essentiel de l'invention est constitué par le fait qu'un premier appareil de commande exécute la régulation de l'organe de réglage et qu'un deuxième appareil de commande contrôle la capacité de fonctionnement de la régulation, par le fait qu'une valeur de consigne pour l'organe de réglage est envoyée par le premier appareil de commande au deuxième appareil de commande, que le deuxième appareil de commande compare la valeur de consigne à une valeur réelle mesurée de l'organe de commande et reconnaît un fonctionnement défectueux si ces valeurs diffèrent l'une de l'autre d'une quantité prédéfinie. Selon d'autres caractéristiques avantageuses de l'invention: - un papillon ou une soupape d'injection est commandé en tant qu'organe de réglage. - la première unité de calcul relève, au moyen d'un premier détecteur de valeur réelle, un premier signal de valeur réelle, la première unité de calcul relève, au moyen d'un deuxième détecteur de valeur réelle, un deuxième signal de valeur réelle, la première unité de calcul compare entre eux les premier et deuxième signaux de valeur réelle, et la première unité de calcul reconnait un fonctionnement défectueux si la différence entre les premier et deuxième signaux de valeur réelle est plus grande qu'une valeur limite. - la deuxième unité de calcul relève, au moyen d'un troisième détecteur de valeur réelle, un troisième signal de valeur réelle, la deuxième unité de calcul relève, au moyen d'un quatrième détecteur de valeur réelle, un quatrième signal de valeur réelle, et la deuxième unité de calcul reconnait un fonctionnement défectueux si la différence entre le troisième et le quatrième signal de valeur réelle est plus grande qu'une valeur limite. - la deuxième unité de calcul relève la valeur réelle de l'organe de réglage à l'instant o l'organe de réglage est lancé en fonction de la valeur de consigne appliquée. On décrira ci-après plus en détail l'invention, en référence aux dessins, sur lesquels: les figures lA et lB représentent ensemble un schéma synoptique de circuit comportant des premier et deuxième appareils de commande; et la figure 2 représente un procédé de surveillance d'une commande d'organe de réglage. La figure 1 représente un premier appareil de commande 1, relié, par un conducteur série de transmission de données 3, à un deuxième appareil de commande 2. Le premier appareil de commande 1 est relié, par un premier conducteur de transmission de signaux 4, à un premier détecteur de pédale 5, et, par un deuxième conducteur de signaux 6, à un deuxième détecteur de pédale 7. Le deuxième appareil de commande 2 est, de même, relié, par des troisième et quatrième conducteurs de signaux 8, 9, au premier détecteur de pédale 5 et au deuxième détecteur de pédale 7. Les premier et deuxième détecteurs de pédale 5, 7 relèvent parallèlement la position de la pédale des gaz et transmettent la position de cette dernière, représentant le souhait du conducteur, au premier et au deuxième appareil de commande 1, 2. Le premier appareil de commande 1 est, de plus, raccordé, par des cinquième et sixième conducteurs de signaux 10, 11 à des premier et deuxième potentiomètres 12, 13. Les premier et deuxième potentiomètres 12, 13 sont, de plus, raccordés, par des septième et huitième conducteurs de signaux 14, 15, au deuxième appareil de commande 2. Les premier et deuxième potentiomètres 12, 13 sont associés à un papillon 16 et mesurent la position de réglage de ce papillon, et transmettent la position de réglage du papillon 16 au premier et deuxième appareils de commande 1, 2. Le premier appareil de commande 1 commande, par l'intermédiaire d'un premier conducteur de commande 17, un étage final 18 qui commande les soupapes d'injection 19. De plus, le premier appareil de commande 1 est relié, par un deuxième conducteur de commande 20, à un circuit de commande 21, relié à son tour à un moteur de réglage 22 qui positionne le papillon 16. Le premier appareil de commande 1 et le deuxième appareil de commande 2 sont reliés, par des premier et deuxième conducteurs d'autorisation 23, 24, à l'étage final 18. De plus, les premier et deuxième appareils de commande 1, 2 sont reliés, par l'intermédiaire de troisième et quatrième conducteurs d'autorisation 25, 26 au circuit de commande 21. Par les conducteurs d'autorisation, chaque appareil de commande 1, 2 peut couper le circuit de commande 21 ou l'étage final 18, par exemple en cas de fonctionnement défectueux, et ainsi fermer la soupape d'injection 19 de telle façon que plus aucun carburant ne soit injecté, et respectivement que le papillon 16 soit fermé, de sorte que peu d'air soit aspiré. Le premier appareil de commande 1 est raccordé par un premier conducteur de remise à l'état initial 27 à une entrée de remise à l'état initial du deuxième appareil de commande 2 et le deuxième appareil de commande 2 est raccordé, par un deuxième conducteur de remise à l'état initial 28 à une entrée de remise à l'état initial du premier appareil de commande 1. Par les conducteurs de remise à l'état initial 27, 28, les deux appareils de commande peuvent être réciproquement placés dans leur état initial. I1 est prévu un générateur de remise à l'état initial 29, qui, par l'intermédiaire d'un troisième conducteur de remise à l'état initial 30 est raccordé à une deuxième entrée de remise à l'état initial du premier appareil de commande 1 et qui, par l'intermédiaire d'un quatrième conducteur de remise à l'état initial 31, est raccordé à une deuxième entrée de remise à l'état initial du deuxième appareil de commande 2. Le générateur de remise à l'état initial 29 mesure la valeur de la tension d'alimentation et transmet un signal de remise à l'état initial aux premier et deuxième appareils de commande 1, 2 si la tension d'alimentation tombe en-dessous d'une valeur minimale prédéfinie. On obtient, par le signal de remise à l'état initial, que les premier et deuxième appareils de commande 1, 2 passent dans un état initial défini, et qu'ils ne passent pas dans un état non défini du fait d'une chute de la tension d'alimentation. Il est prévu un premier appareil de mesure de la tension 32, qui mesure la tension d'alimentation des premier et deuxième détecteurs de pédale 5, 7 et, par un neuvième conducteur de signal 33, la transmet au premier appareil de commande 1 et, par un dixième conducteur de signal 34, l'envoie au deuxième appareil de commande 2. De plus, il est prévu un deuxième appareil de mesure de la tension 35, qui mesure la tension d'alimentation des premier et deuxième potentiomètres 12, 13 et, par des onzième et douzième conducteurs de signal 51, 52, la transmet aux premier et deuxième appareils de commande 1, 2. Le premier appareil de commande 1 est, de plus, relié à une mémoire de données 38. Le premier appareil de commande 1 est relié, par l'intermédiaire d'un bus de données 39 et de détecteurs 40, au véhicule automobile 41, en particulier à son moteur à combustion interne. Les détecteurs 40 relèvent des états de fonctionnement du véhicule automobile, en particulier les états de fonctionnement de son moteur à combustion interne, et transmettent ces états de fonctionnement au premier appareil de commande 1 qui prend en compte les conditions de fonctionnement pour commander les organes de réglage, comme, par exemple, les soupapes d'injection 19 ou le papillon 16. Ces conditions de fonctionnement sont, par exemple, la vitesse de rotation, la marche à pleine charge, le fonctionnement en démarrage du moteur à combustion interne, une régulation enclenchée du moteur en cas de patinage, ou le choix du rapport de transmission de la boite, etc.. Le circuit de la figure 1 fonctionne de la façon suivante: Le premier appareil de commande 1 relève la position de la pédale des gaz du véhicule automobile au moyen des premier et deuxième détecteurs de pédale 5, 7. La première valeur PWG1 du signal de pédale et la deuxième valeur PWG2 du signal de pédale sont transmises à un convertisseur analogique-numérique dans le premier appareil de commande 1 qui transforme les valeurs analogiques de la pédale en valeurs numériques de pédale et qui les met à la disposition du premier appareil de commande 1. Le premier appareil de commande 1 calcule, à partir de la valeur moyenne des première PWG1 et deuxième PWG1 valeurs de pédale qui représentent le souhait du conducteur, et à partir d'autres conditions de fonctionnement du véhicule automobile, comme, par exemple, la vitesse de rotation, une valeur de consigne pour la position du papillon 16. Cette valeur de consigne est envoyée, par l'intermédiaire du deuxième conducteur de signal 20, au circuit de commande 21, qui lance ses instructions, en fonction de la valeur de consigne, au moteur de réglage 22 qui place le papillon 16 dans une position correspondant à la valeur de consigne. La position du papillon 16 est mesurée par les premier et deuxième potentiomètres 12, 13 et est envoyée, comme première valeur réelle DK1 ou comme deuxième valeur réelle DK2, aux premier et deuxième appareils de commande 1, 2. Le premier appareil de commande 1 compare la valeur de consigne S à la valeur réelle I de position du papillon et règle la position du papillon 16 en fonction de la différence D entre la valeur réelle et la valeur de consigne (D = S - I), en suivant des procédés connus de régulation. Ainsi, le premier appareil de commande 1 règle la position du papillon 16 indépendamment du deuxième appareil de commande 2. Le premier appareil de commande 1 retransmet, par le conducteur de données 3, au deuxième appareil de commande 2, à des écarts de temps donnés, la valeur de consigne calculée pour la position du papillon 16. Le deuxième appareil de commande 2 compare la valeur de consigne à la valeur réelle de position du papillon, qui est formée de la valeur moyenne obtenue à partir des première et deuxième valeurs réelles DK1, DK2. Si cette comparaison montre que la valeur réelle s'écarte, de plus d'une valeur de limite prédéfinie, par exemple de plus de 15%, de la valeur de consigne, le deuxième appareil de commande 2 reconnaît un fonctionnement défectueux et émet vers la première entrée du premier appareil de commande 1, par l'intermédiaire du deuxième conducteur de remise à l'état initial 28, un signal de remise à l'état initial. Après avoir reconnu un fonctionnement défectueux, le premier ou le deuxième appareil de commande se branche sur une fonction d'urgence, dans le cas de laquelle seule la fourniture d'une faible puissance est encore possible. De préférence, l'ouverture du papillon est limitée à déviation maximale. Une autre réaction vers une fonction d'urgence consiste à mettre hors circuit les soupapes d'injection. De préférence, le deuxième appareil de commande 2 contrôle la différence entre la première valeur réelle DK1 et la deuxième valeur réelle DK2 correspondant à la position du papillon 16 et reconnaît un fonctionnement défectueux des premier et deuxième potentiomètres 12, 13 si la différence entre la première valeur réelle DK1 et la deuxième valeur réelle DK2 est de plus de 10 %. Si le deuxième appareil de commande 2 reconnaît un fonctionnement défectueux correspondant des premier et deuxièmes potentiomètres 12, 13, le deuxième appareil de commande 2 émet un signal de remise à l'état initial vers le premier appareil de commande 1. Le premier appareil de commande 1, dans un deuxième processus, commande une valeur de consigne pour le début de l'injection et sa durée en fonction du souhait du conducteur, déterminé au moyen des premier et deuxièmes détecteurs de pédale 5, 7, et en fonction d'autres conditions de fonctionnement du véhicule automobile 41,5 comme, par exemple, la vitesse de rotation. La valeur de consigne pour le début de l'injection et la durée sont transmises, par le premier conducteur de commande 17, à l'étage final 18 qui commande en conséquence les soupapes d'injection 19. En même temps, la valeur de consigne pour le début de l'injection et la valeur de consigne pour la durée d'injection sont transmises au deuxième appareil de commande 2. Il est prévu, sur la soupape d'injection 19, un dispositif de mesure de soupape 42, qui mesure, et transmet au deuxième appareil de commande 2, le processus d'injection de la soupape d'injection 19 et en particulier la valeur réelle pour le début effectif de l'injection et la valeur réelle de la durée effective d'injection. Le deuxième appareil de commande 2 compare la valeur réelle pour le début de l'injection et la valeur réelle de la durée d'injection aux valeurs de consigne prédéfinies pour le début de l'injection et pour la durée d'injection. Si cette comparaison montre que la valeur réelle pour le début de l'injection,ou la valeur réelle pour la durée d'injection, s'écartent de plus d'une valeur limite prédéfinie des valeurs de consigne correspondantes, un fonctionnement défectueux du processus de régulation est reconnu, en particulier un fonctionnement défectueux du premier appareil de commande, de l'étage final 18 et de la soupape d'injection 19, et l'étage final 18 est coupé, par l'intermédiaire du deuxième conducteur d'autorisation 24, du deuxième appareil de commande 2. De préférence, un signal de remise à l'état initial est envoyé vers le premier appareil de commande 1, qui met le premier appareil de commande 1 dans un état de repos défini. Dans une forme d'exécution préférée, le deuxième appareil de commande 2 est raccordé au bus de données 39 et fournit ainsi des signaux de mesure permettant de déterminer des valeurs réelles pour l'instant de l'injection et pour la durée d'injection. Dans ce cas, on peut se dispenser d'utiliser le dispositif de mesure de soupape 42. Par exemple, par un détecteur de couple de rotation, on détermine la valeur du couple de rotation et l'instant d'application du couple de rotation, et, ainsi, la valeur réelle du début de l'injection et la valeur réelle de la durée d'injection. Le deuxième appareil de commande 2 compare alors la valeur de consigne pour le début d'injection et/ou pour la durée d'injection, envoyée par le premier appareil de commande 1, aux valeurs réelles correspondantes relevées. Si la comparaison a pour résultat que la valeur réelle déterminée pour le début d'injection, et/ou la valeur réelle déterminée pour la durée d'injection, s'écartent respectivement plus des valeurs de consigne de début d'injection et de durée d'injection, que des valeurs limite prédéfinies, le deuxième appareil de commande 2 reconnaît un fonctionnement défectueux de la régulation et coupe alors, par exemple, l'étage final 18 au moyen du conducteur d'accès 24. De plus, le deuxième appareil de commande 2 émet un signal de remise à l'état initial, par le deuxième conducteur de remise à l'état initial 28, vers le premier appareil de commande 1. Ce signal branche le premier appareil de commande 1 sur un état de repos ou sur un programme d'urgence. La valeur réelle du début d'injection et de la durée d'injection sont, de préférence, déterminées avec un détecteur de bruit de structure. Dans ce cas, l'augmentation du bruit de structure est interprété comme signal de début d'injection et la durée d'un signal de structure élevé est interprétée comme durée d'injection. Ce processus est utilisable même si aucun papillon n'est prévu, comme, par exemple, dans le cas d'un moteur à combustion interne diesel. L'idée essentielle de l'invention repose sur le fait qu'essentiellement le premier appareil de commande 1 n'effectue que la régulation d'un organe de réglage, en particulier la régulation du papillon 16 et/ou des soupapes d'injection 19. Pour cela, le premier appareil de commande 1 calcule une valeur de consigne, détermine une valeur réelle, et commande l'organe de réglage d'après la différence entre la valeur réelle et la valeur de consigne. La valeur de consigne est transmise au deuxième appareil de commande 2. De même, le deuxième appareil de commande 2 mesure lui-même la valeur réelle de l'organe de réglage et compare la valeur réelle à la valeur de consigne. Si la différence entre la valeur réelle et la valeur de consigne est plus grande qu'une valeur limite prédéfinie, un fonctionnement défectueux du procédé de régulation est reconnu. Le deuxième appareil de commande n'exécute alors aucun processus de commande ou de régulation. Dans une forme d'exécution préférée de l'invention, les premier et deuxièmes appareils de commande 1, 2 sont réalisés sous la forme d'unités fonctionnelles, mais ils peuvent également, par exemple, être réalisés, indépendamment l'un de l'autre sous la forme de logiciels dans un appareil de commande unique. La figure 2 représente schématiquement le déroulement du procédé selon l'invention. Après le démarrage au point du programme, le premier appareil de commande 1 exécute le procédé de régulation de l'organe de réglage. A partir des conditions de fonctionnement du véhicule automobile et à partir du souhait du conducteur, une valeur de consigne est alors déterminée pour l'organe de réglage. De plus, la position réelle de l'organe de réglage est relevée et est comparée, en tant que valeur réelle, à la valeur de consigne. A partir de la différence entre la valeur réelle et la valeur de consigne, un signal de commande est calculé et est envoyé à l'organe de réglage 19, 16. Ensuite, au point 12 du programme, le premier appareil de commande 1 transmet la valeur de consigne au deuxième appareil de commande 2. Le deuxième appareil de commande 2 mesure, au point 13 du programme, la valeur réelle de l'organe de réglage 16, 19, ou calcule la valeur réelle de l'organe de réglage 19, 16 et compare cette valeur réelle à la valeur de consigne prédéfinie par le premier appareil de commande 1. Ensuite, au point 14 du programme, dans le deuxième appareil de commande 2, un test détermine si la valeur réelle s'écarte de plus d'une valeur limite de la valeur de consigne. Si cela est le cas, le deuxième appareil de commande 2 reconnaît un fonctionnement défectueux et bifurque vers le point de programme 15. Au point de programme 15, le deuxième appareil de commande 2 émet, vers le premier appareil de commande 1, un signal de remise à l'état initial, qui branche le premier appareil de commande 1 sur un fonctionnement d'urgence qui, dans ce cas, limite, par exemple, la délivrance du couple de rotation. De préférence, au point de programme 15, le deuxième appareil de commande 2 émet un signal d'autorisation vers le circuit de commande 21 ou vers l'étage final 18 de l'organe de réglage, ce qui limite ou interdit de poursuivre la commande de l'organe de réglage. Si, au point de programme 14, le test montre que la valeur réelle mesurée par le deuxième appareil de commande 2 s'écarte la valeur de consigne de moins que la valeur de limite prédéfinie, un mode de fonctionnement correct du procédé de régulation est reconnu par le premier appareil de commande 1, et on revient ensuite au point de programme 11, et le programme est de nouveau exécuté. REVENDICATIONS 1. Procédé de surveillance d'une commande d'un organe de réglage, en particulier dans un véhicule automobile, comportant les caractéristiques suivantes: une première unité de calcul détermine, à partir de valeurs d'entrée, une valeur de consigne pour un organe de réglage, la première unité de calcul relève la valeur réelle de l'organe de réglage et commande l'organe de réglage en fonction de la différence entre la valeur réelle et la valeur de consigne, la première unité de calcul transmet la valeur de consigne à une deuxième unité de calcul, la deuxième unité de calcul relève la valeur réelle de l'organe de réglage et la compare à la valeur de consigne appliquée, la deuxième unité de calcul reconnaît, à partir de la comparaison, un fonctionnement défectueux de la première unité de calcul si la valeur réelle diffère de la valeur de consigne de plus d'une valeur de limite prédéfinie. 2. Procédé suivant la revendication 1, caractérisé en ce que, comme organe de réglage, un papillon est commandé. 3. Procédé suivant la revendication 1, caractérisé en ce que, comme organe de réglage, une soupape d'injection est commandée. 4. Procédé suivant la revendication 1, caractérisé en ce que la première unité de calcul relève, au moyen d'un premier détecteur de valeur réelle, un premier signal de valeur réelle, en ce que la première unité de calcul relève, au moyen d'un deuxième détecteur de valeur réelle, un deuxième signal de valeur réelle, en ce que la première unité de calcul compare entre eux le premier et deuxièmes signaux de valeur réelle, en ce que la première unité de calcul reconnaît un fonctionnement défectueux si la différence entre les premier et deuxièmes signaux de valeur réelle est plus grande qu'une valeur de limite. 5. Procédé suivant la revendication 1, caractérisé en ce que la deuxième unité de calcul relève, au moyen d'un troisième détecteur de valeur réelle, un troisième signal de valeur réelle, en ce que la deuxième unité de calcul5 relève, au moyen d'un quatrième détecteur de valeur réelle, un quatrième signal de valeur réelle, en ce que la deuxième unité de calcul compare entre eux les premier et deuxième signaux de valeur réelle, en ce que la deuxième unité de calcul reconnaît un fonctionnement défectueux si10 la différence entre les troisième et quatrième signaux de valeur réelle est plus grande qu'une valeur de limite. 6. Procédé suivant la revendication 1, caractérisé en ce que la deuxième unité de calcul relève la valeur réelle de l'organe de réglage à l'instant o la commande de l'organe de réglage est lancée en fonction de la valeur de consigne appliquée.