FR 2804193 A1 20010727 FR 0100577 A 20010117 La présente invention concerne un procédé de com- mande d'un système d'entraînement avec un embrayage et/ou une boîte de vitesses, l'embrayage et/ou la boîte de vitesses ayant un actionneur pour exécuter les opérations de commuta-5 tion par une commande alternée avec un dispositif de com- mande. L'invention concerne également un système d'en- traînement pour un tel procédé. De tels systèmes d'entraînement utilisés fréquem- ment dans les automobiles actuelles sont conçus pour exécuter de manière plus ou moins automatique les opérations de commu- tation. Il s'agit par exemple de l'embrayage et/ou de la boîte de vitesses qui sont automatisés pour que les différen- tes mesures d'activation d'un conducteur soient simplement15 reçues par des capteurs et qu'à partir des signaux fournis par les capteurs, le dispositif de commande crée des ordres destinés aux actionneurs respectifs. Dans le dispositif de commande qui comporte de manière générale un microprocesseur, se déroulent des programmes de commande utilisant les signaux20 des différents capteurs ou des consignes pour créer des or- dres correspondants ou interdire la mise en oeuvre d'actionneurs si leur fonctionnement n'est pas nécessaire. Dans de tels dispositifs de commande il subsiste néanmoins le problème de base que, soit par suite d'un défaut mécanique du microprocesseur ou dans un autre domaine de l'électronique, certains signaux d'entrée corrects donnent lieu à des ordres erronés, soit par suite de l'exécution erronée du programme de commande, qui traite des valeurs éventuellement fausses, enregistrées, ou reconnues comme telles, on peut générer des ordres erronés. En particulier dans le cas d'un microproces- seur défectueux ou de plusieurs microprocesseurs fonctionnant de manière défectueuse, même si le dispositif de commande travaille de manière redondante et vérifie la création ou la prédétermination d'un ordre avant son émission, souvent le défaut ne peut être reconnu car le même microprocesseur dé- fectueux exécute également les calculs pour assurer une sur- veillance redondante. Mais si un tel ordre créé de manière erronée est émis, il peut par exemple, en fermant l'embrayage ou en passant un rapport de vitesse, lorsque le rapport pré- cédent n'est pas encore dégagé, produire des incidents consi- dérables dans l'ensemble du système d'entraînement ou créer des situations dangereuses. Une détection tardive d'une per-5 turbation de fonctionnement, par exemple après la transmis- sion d'un ordre au moteur électrique d'un actionneur, même si l'ordre est ensuite coupé, peut conduire à ce que, du fait de l'inertie des masses en mouvement, on se trouve dans une si- tuation dangereuse. La présente invention a pour but de développer un système d'entraînement ou un procédé de commande de celui-ci permettant, en cas d'apparition de perturbations de fonction- nement, d'augmenter la sécurité vis-à-vis de la création de situations potentiellement critiques. A cet effet, l'invention concerne un procédé de commande d'un système d'entraînement avec un embrayage et/ou une boîte de vitesses, l'embrayage et/ou la boîte de vitesses ayant un actionneur pour exécuter les opérations de commuta- tion par une commande alternée avec un dispositif de com- mande, caractérisé en ce qu' a) on surveille le fonctionnement du dispositif de commande, lorsqu'on détecte une perturbation de fonctionnement du dispositif de commande, et b) on déclenche des mesures de sécurité pour éviter de ma- nière active qu'un actionneur exécute une opération. Ainsi, dans la présente invention, lorsqu'une perturbation de fonctionnement du dispositif de commande est décelée, on arrête non seulement l'ordre dans la mesure o un tel ordre a été créé, mais on prend des mesures pour éviter que l'actionneur ou son moteur ne puisse exécuter activement les opérations d'actionnement. Cela signifie que l'actionneur déjà en travail actif est arrêté aussi rapidement que possi- ble pour conserver sa situation instantanée; l'actionneur, qui n'a pas encore été commandé pour exécuter une quelconque opération d'actionnement, peut également être bloqué par cette mesure, de manière active, dans l'exécution d'un quel- conque mouvement d'actionnement. Des mesures de sécurité auront un effet particu- lièrement efficace si elles produisent la mise en court- circuit d'au moins un moteur électrique de l'actionneur. Dans ces conditions, le moteur électrique fonctionne comme généra-5 teur en courtcircuit et crée ainsi une force de freinage considérable. En variante, ou en plus, il est également possi- ble que les mesures de sécurité comprennent l'activation d'une installation de frein dans l'actionneur. Cela signifie10 en définitive que même par une action de frein mécanique on évite que l'actionneur n'exécute des opérations d'action- nement ou ne commence de telles opérations. Dans le procédé selon l'invention, on peut par exemple prévoir que dans l'étape a) on vérifie l'aptitude au fonctionnement d'au moins un microprocesseur du dispositif de commande. Ce moyen permet par exemple de constater si le cir- cuit du microprocesseur a un défaut, par exemple si un compo- sant électronique de celui-ci est défectueux. En variante ou en plus, il est possible dans l'étape a) d'exécuter des routines de commande dans le dispo- sitif de commande ou/et de contrôler les résultats de telles routines ou programmes de commande. En cas de fonctionnement défectueux des routines de commande, on constate ainsi qu'il y a un défaut de fonctionnement et, selon l'invention, l'actionneur est bloqué de manière active dans l'exécution des opérations. Selon une autre caractéristique de l'invention, le problème évoqué cidessus est résolu par un système d'entraînement comprenant un embrayage et/ou une boîte de vi- tesses, l'embrayage et/ou la boîte de vitesses comportant un actionneur prévu pour l'exécution commandée d'opérations de commutation dans le changement de commande avec un dispositif de commande, comprenant en outre un dispositif de sur- veillance pour surveiller le fonctionnement du dispositif de commande, le dispositif de surveillance déclenchant des mesu- res de sécurité pour éviter activement que les actionneurs exécutent une opération si une perturbation de fonctionnement du dispositif de commande est décelée. Comme déjà indiqué ci-dessus, le blocage actif de l'actionneur, dans l'exécution des opérations, augmente la sécurité de fonctionnement de l'ensemble du système en ce que l'on évite autant que possible le passage dans des situations5 potentiellement critiques. On peut par exemple prévoir que le dispositif de surveillance génère des mesures de sécurité sous la forme d'un ordre court-circuitant au moins un moteur électrique d'un actionneur. Pour réduire les composants nécessaires à un10 tel système d'entraînement, il est proposé que le dispositif de surveillance émette l'ordre de commande pour l'étage de sortie du dispositif de commande. Un tel étage de sortie de commande peut alors être en liaison de commande directe avec l'actionneur correspondant et recevoir d'une unité de traite-15 ment à l'intérieur du dispositif de commande, les ordres que l'étage de sortie de commande transforme finalement en si- gnaux de commande correspondants. Cet étage de sortie de com- mande peut servir également à transformer l'ordre correspondant du dispositif de surveillance. Il est clair dans ce cas que s'il y a d'une part un ordre du dispositif de surveillance par exemple pour court-circuiter le moteur élec- trique et d'autre part un ordre de commander celui-ci, par exemple d'exciter le moteur électrique, la priorité sera don- née à l'ordre généré par le dispositif de surveillance et seul cet ordre sera transformé. Pour augmenter encore plus la sécurité de fonc- tionnement, on peut prévoir que le dispositif de surveillance transmette l'ordre de commande à une zone de commutation de sécurité qui assure la mise en court-circuit. Comme déjà indiqué, on peut en outre prévoir que le dispositif de surveillance vérifie le bon fonctionnement d'au moins un microprocesseur du dispositif de commande. Il est également possible au dispositif de commande de vérifier le fonctionnement par l'exécution de routines de commande dans le dispositif de commande ou/et de contrôler les résul- tats des routines ou programmes de commande. La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'un exemple de réalisation d'un système d'entraînement selon l'invention représenté par un schéma par blocs dans l'unique figure annexée. Tout d'abord en se reportant à la figure, on dé- crira de manière générale un système d'entraînement appli- quant le concept de sécurité selon l'invention pour créer ou convertir des mesures de commande. Le système d'entraînement comprend une unité motrice 12, par exemple un moteur à combustion interne 12 relié par un arbre de sortie 14 à l'entrée 16 d'un embrayage automatisé 20, par exemple un em-10 brayage à friction. La sortie 22 de l'embrayage 20 est reliée par l'arbre d'entrée de boîte de vitesses 24 à une boîte de vitesse automatisée 26. L'arbre de sortie 28 entraîne les roues motrices 32, 34 par un différentiel 30. L'unité motrice 12, l'embrayage 20 et la boîte de vitesses 26 sont commandés par un dispositif de commande 36. Ce dispositif de commande 36 échange des données avec un dispositif de réglage de puis- sance 38 de l'unité motrice pour régler la puissance motrice fournie ou le régime de l'unité motrice 12 ou la commander par l'envoi de signaux de commande ou d'ordres vers le dispo- sitif de réglage 38. Il est à remarquer que le dispositif de réglage de puissance 38 comprend uniquement la partie de l'unité motrice dans laquelle on peut influencer la vitesse de rotation ou la puissance fournie, par exemple le système d'injection, le système d'étranglement, le système d'allumage, le système des cames, etc.... Il est clair que le dispositif de réglage 38 fournit une information au disposi- tif de commande 36 pour désigner l'état de puissance de l'unité motrice 12. Le dispositif de commande 36 est également relié à un dispositif d'actionnement 40 pour l'embrayage automatisé , pour commander l'embrayage 20 par l'application de si- gnaux d'actionnement correspondants, entre un état embrayé et un état débrayé ou inversement. Le dispositif d'actionnement peut également fournir des informations au dispositif de commande 36, indiquant l'état d'actionnement instantané de l'embrayage. Le dispositif de commande 36 fournit également des signaux de commande à un dispositif d'actionnement 42 de la boîte de vitesses 26. Ces signaux de commande exécutent les commutations dans la boîte de vitesses 26. Dans ce cas également, le dispositif de commande 36 reçoit en retour des informations indiquant l'état d'actionnement instantané de la boîte de vitesses 26. Le dispositif de commande 36 reçoit en outre des informations I venant de différents capteurs; à partir de ces informations, le dispositif de commande 36 peut définir l'état de fonctionnement global du véhicule. Ainsi, il est par exemple prévu un capteur de vitesse de rotation 4410 qui détecte la vitesse de rotation de l'arbre moteur 14. Il est à remarquer que dans la mesure o il est question ici de détection de vitesse de rotation, cela concerne évidemment également la saisie de n'importe quelle information caracté- risant la vitesse de rotation et qui peut alors être par exemple traitée dans le dispositif de commande 36 pour déter- miner effectivement la vitesse de rotation (régime). Il est en outre prévu un capteur de vitesse de rotation 46 qui dé- tecte la vitesse de rotation de l'arbre d'entrée 24 de la boîte de vitesses ainsi qu'un capteur de vitesse de rotation 48 détectant la vitesse de rotation de l'arbre de sortie 28 de la boîte de vitesses. Des capteurs de vitesse de rotation , 52 détectent la vitesse de rotation des roues motrices 32, 34 ou des arbres 54, 56 entraînant les roues. En fonction des deux sorties de capteur, ou de l'émission du capteur de vitesse de rotation 48, on peut calculer la vitesse du véhi- cule; cela signifie que les signaux fournis par les capteurs 48, 50, 52 contiennent l'information relative à la vitesse du véhicule. Il est également prévu un capteur de commutation 58 qui détecte l'actionnement du levier de changement de vi- tesse et fournit une information I correspondante au disposi- tif de commande 36. En fonction de cette information, le dispositif de commande 36 connaît l'opération de commutation que le conducteur veut exécuter, il crée alors à l'instant approprié et le cas échéant en tenant compte d'autres infor- mations représentant l'état de fonctionnement du véhicule, un ordre de commande approprié pour la boîte de vitesses 26. On remarque qu'à l'endroit de la saisie de l'actionnement du le- vier de changement de vitesse, l'exécution de la commutation peut se faire également à la manière d'une boîte automatique utilisant la situation de roulement. Le système d'entraînement 10 comporte en outre une pédale d'accélérateur 62 équipée d'un capteur 64 corres- pondant dont le signal de sortie représente le degré d'actionnement de la pédale d'accélérateur. Il est également prévu une pédale de frein 66 à laquelle est également associé un capteur 68. Le signal fourni par ce capteur de pédale de10 frein 68 représente le degré d'actionnement de la pédale de frein 66. En fonction de toutes ces indications de capteur et le cas échéant également d'autres entrées de capteurs, par exemple le capteur de température ambiante, le capteur de fluide de refroidissement, le capteur de mouvement de lacet ou analogue, le dispositif de commande 36 génère différents ordres ou consignes de commande transmises alors aux diffé- rentes unités ou composants à commander; le dispositif de réglage de puissance 38, l'actionneur 40 et l'actionneur 42 convertissent alors ces signaux pour effectuer les opérations dans l'unité motrice 12, dans l'embrayage 20 et dans la boîte de vitesses 26. Ces consignes de commande sont déterminées dans le dispositif de commande 36 par un processeur dans le- quel se déroule un programme de commande recevant comme en- trée, les différents signaux des capteurs I et fournissant en sortie une consigne de commande qui est soit transmise direc- tement comme ordre aux différentes zones de réglage 38, 40, 42 ou qui sera ensuite convertie par le dispositif de com- mande 36 en un ordre de commande et ensuite seulement trans- mise aux actionneurs. Le dispositif de commande 36 comporte de manière générale un microprocesseur pour exécuter les différentes routines de commande. L'exécution de ces routines de commande crée en utilisant les entrées évoquées des capteurs, les dif- férents ordres de commande pour les actionneurs 40, 42 ainsi que pour le dispositif de réglage de puissance 38. Il peut toutefois arriver qu'après un certain temps de fonctionne- ment, un défaut se produit dans le microprocesseur, par exem- ple par suite d'un court-circuit ou autre endommagement méca- nique. Cela peut mettre le microprocesseur dans une situation telle qu'il peut encore en principe fonctionner mais fournit des résultats de calcul erronés. Si dans ces conditions le5 dispositif de commande 36, utilisant des résultats de calcul faux, générait des ordres appropriés qui seraient alors con- vertis par l'étage de puissance du dispositif de commande 36 en des signaux d'ordre pour les actionneurs 40, 42 ou le dis- positif de réglage de puissance 38, l'exécution défectueuse10 d'opérations d'actionnement pourrait engendrer dans l'ensemble du système une situation dans laquelle le système risquerait d'être endommagé, par exemple par le passage si- multané de deux rapports de vitesses; de plus, cela créerait une situation dangereuse du point de vue de la sécurité. Les mêmes remarques s'appliquent pour l'exécution éventuellement défectueuse des programmes de commande si par exemple pendant le fonctionnement une quelconque perturbation enregistrait une mauvaise valeur, qui serait ensuite de nouveau exploitée. En particulier dans le cas d'un défaut du micro- processeur, on risque que même si le dispositif de commande 36 fonctionne de manière redondante, un tel défaut ne soit pas reconnu car le microprocesseur fonctionne alors par exem- ple pour deux niveaux. Un premier niveau sert ici à générer un ordre de commande à partir des signaux fournis par les capteurs ou encore à prédéterminer un tel ordre et un second niveau sert par exemple, en partant d'entrées identiques ou autres fournies par les capteurs, à vérifier que la situation présente est effectivement une situation nécessitant un tel ordre. Ce n'est que si les deux niveaux concordent qu'en dé- finitive l'ordre de commande ou le signal de commande corres- pondant destiné aux actionneurs 40, 42 ou au dispositif de réglage de puissance 38 seront créés. Si les deux niveaux ac- cèdent au même microprocesseur pour l'exécution des program- mes, un défaut risque de ne pas être retenu et le système créera des signaux faux. Pour éviter cette difficulté, la présente inven- tion prévoit un dispositif de surveillance 70 qui coopère dans le sens de la surveillance avec le dispositif de com- mande 36. Par exemple, le dispositif de surveillance 70 peut être conçu pour coopérer avec le microprocesseur de manière statistique ou périodique, pour lui ordonner l'exécution de calculs quelconques plus ou moins compliqués. Si le résultat5 du calcul est le résultat prévu, cela permet de conclure que le microprocesseur fonctionne correctement. Mais si le micro- processeur fournit un résultat de calcul erroné, cela permet de conclure que le dispositif de commande 36 fonctionne de manière défectueuse. Après avoir reconnu une telle perturbation de fonctionnement, l'invention prévoit des mesures permettant d'interdire de manière active l'exécution de mouvements d'actionnement erronés. Par exemple, le dispositif de sur- veillance 70 génère un ordre entraînant la mise en court- circuit d'un moteur électrique d'un dispositif à élément d'actionnement 40, 42. Cet ordre peut être transmis par exem- ple à une zone de commutation 72 qui le transforme en un si- gnal de commande approprié. Cette zone de commutation 72 est distincte de l'étage de puissance du dispositif de commande 36. En variante, il est également possible, dans un tel cas, de mettre le dispositif de surveillance 70 directement en contact avec l'étage de puissance du dispositif de commande 36, c'est-à-dire d'envoyer l'ordre à celui-ci pour créer le court-circuit si bien que l'étage de puissance du dispositif de commande 36 envoie un ordre correspondant vers les action- neurs 40 ou 42 respectifs. Créer un tel court-circuit a pour conséquence que le moteur électrique correspondant, s'il a déjà par exemple déjà été mis en mouvement par un ordre émis précédemment, fonctionne maintenant comme un générateur courtcircuité et passe ainsi de manière active directement à l'arrêt. L'actionneur correspondant reste dans sa position instantanée et on risque qu'il passe encore ultérieurement dans une si- tuation éventuellement critique pour la sécurité; grâce à l'invention cette situation peut être évitée. Si un ordre n'a pas encore été créé, ce moyen garantit que l'actionneur soit maintenu de manière active dans cette position instantanée, qui, jusqu'à l'instant auquel le défaut a été constaté, n'était pas encore jugée critique du point de vue de la sécu- rité. Il peut être nécessaire de générer un tel ordre pour prendre de manière active des mesures évitant que les actionneurs 40 ou 42 exécutent des opérations, en dehors du dispositif de commande 36 ou en dehors de la partie du dispo- sitif de commande 36 qui travaille normalement pour générer de tels ordres, en particulier lorsque se présente une situa- tion dans laquelle le dispositif de commande 36 ne communique10 absolument plus avec l'actionneur respectif 40, 42. Si par exemple un dispositif de commande 36 à fonctionnement redon- dant a constaté qu'un programme de commande fonctionne de ma- nière défectueuse ou a conduit à un résultat défectueux, une mesure de sécurité prise à l'intérieur du dispositif de com- mande 36 peut remettre le programme à zéro, c'est-à-dire cou- per directement le programme de commande qui se déroule, effacer des valeurs intermédiaires éventuellement mémorisées et relancer les programmes. Dans cette situation, le disposi- tif de commande ne peut générer d'ordre avant que les pro- grammes soient de nouveau relancés, ordre qui pourrait être transformé par son étage de sortie en des signaux de commande correspondants. Il est en outre à remarquer que le dispositif de surveillance 70 et la plage de commutation 72 sont des ensem- bles fonctionnels ou de composants qui peuvent être intégrés au dispositif de commande 36 en constituant néanmoins une zone fonctionnant de façon indépendante des autres ensembles. Un autre moyen qui peut être pris lorsqu'une per- turbation de fonctionnement est constatée dans le dispositif de commande 36 serait l'activation dans n'importe quel ac- tionneur 40, 42 d'un dispositif de frein prévu qui soit main- tient les actionneurs 40, 42 dans leur position instantanée ou les met immédiatement à l'arrêt. Ce type de moyen permet également d'assurer qu'avant tout pour des actionneurs déjà en mouvement, le moment d'inertie des actionneurs ne produise pas leur ralentissement progressif, mais que l'arrêt des ac- tionneurs 40, 42 soit immédiat. Il R E V E N D I C A T IONS 1 ) Procédé de commande d'un système d'entraînement (10) avec un embrayage (20) et/ou une boîte de vitesses (26), l'embrayage (20) et/ou la boîte de vitesses (26) ayant un ac- tionneur (40, 42) pour exécuter les opérations de commutation par une commande alternée avec un dispositif de commande (36), caractérisé en ce que a) on surveille le fonctionnement du dispositif de commande10 (36), et b) lorsqu'on détecte une perturbation de fonctionnement du dispositif de commande (36), on déclenche des mesures de sécurité pour éviter de manière active qu'un actionneur (40, 42) exécute une opération. 2 ) Procédé selon la revendication 1, caractérisé en ce que les mesures de sécurité comprennent au moins la mise en court-circuit d'un moteur électrique d'un actionneur (40, 42). ) Procédé selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que les mesures de sécurité comprennent l'activation d'une ins- tallation de frein dans les actionneurs (40, 42). ) Procédé selon la revendication 1, caractérisé en ce que dans l'étape a) on vérifie l'aptitude au fonctionnement d'au moins un microprocesseur du dispositif de commande (36). ) Procédé selon la revendication 1, caractérisé en ce que dans l'étape a) on vérifie l'exécution de routines de com- mande dans le dispositif de commande (36) et/ou les résultats des de routines de commande. 6 ) Système d'entraînement comprenant un embrayage (20) et/ou une boîte de vitesses (26), l'embrayage (20) et/ou la boîte de vitesses (26) comportant un actionneur (40, 42) prévu pour l'exécution commandée d'opérations de commutation dans le5 changement de commande avec un dispositif de commande (36), comprenant en outre un dispositif de surveillance (70) pour surveiller le fonctionnement du dispositif de commande (36), le dispositif de surveillance (70) déclenchant des mesures de sécurité pour éviter activement que les actionneurs (40, 42)10 exécutent une opération si une perturbation de fonctionnement du dispositif de commande (36) est décelée. 7 ) Système d'entraînement selon la revendication 6, caractérisé en ce que le dispositif de surveillance (70) génère, comme mesure de sécurité, une commande de court-circuit d'au moins un moteur électrique d'un actionneur (40, 42). 8 ) Système d'entraînement selon la revendication 7, caractérisé en ce que le dispositif de surveillance (70) émet la commande à l'étage de sortie du dispositif de commande. 9 ) Système d'entraînement selon la revendication 7, caractérisé en ce que le dispositif de surveillance (70) transmet l'ordre de com- mande à une zone de commutation de sécurité (72) qui réalise le court-circuit. 10 ) Système selon l'une quelconque des revendications 6 à 9, caractérisé en ce que le dispositif de surveillance (70) vérifie, comme contrôle de surveillance, l'aptitude au fonctionnement d'au moins un mi- croprocesseur du dispositif de commande (36). 11 ) Système selon l'une quelconque des revendications 6 à 10, caractérisé en ce que le dispositif de surveillance (70) vérifie l'exécution de routines de commande dans le dispositif de commande (36) ou/et les résultats des routines de commande.