FR 2798627 A1 20010323 FR 0011963 A 20000920 I Description La présente invention concerne un procédé de com- mande d'un système d'entraînement d'un véhicule automobile, ce système d'entraînement comportant un dispositif d'embrayage automatique et/ou une boîte de vitesse automati- que, ainsi qu'un dispositif de commande pour commander le dispositif d'embrayage automatique et/ou la boîte de vitesse automatique selon l'état de fonctionnement du véhicule. Dans un tel procédé de commande de différents composants ou ensembles d'un système d'entraînement reposant sur l'état de fonctionnement instantané d'un véhicule, le dispositif de commande reçoit de différents capteurs, une in- formation relative à l'état de fonctionnement du véhicule ou déterminée en fonction de tels capteurs, sous forme d'information ou de partie d'information caractérisant l'état de fonctionnement instantané. Selon cette information on dé- clenche des mesures de commande, par exemple pour commuter le rapport de vitesse ou pour embrayer/débrayer l'embrayage. Pour éviter une commande erronée la boite de vi- tesse ou de l'embrayage, de tels systèmes d'entraînement com- portent différents mécanismes de surveillance qui surveillent les capteurs ou les actionneurs et qui génèrent les actions dans la boîte de vitesse ou l'embrayage. La présente invention a pour but de développer un procédé de commande d'un système d'entraînement d'un véhi- cule, qui soit en mesure d'augmenter la sécurité contre la prise de mesures de commande qui ne conviennent pas pour un état de fonctionnement. Selon l'invention ce problème est résolu par un procédé de commande d'un système d'entraînement d'un véhicule automobile, ce système d'entraînement comportant un disposi- tif d'embrayage automatique et/ou une boîte de vitesse auto- matique, ainsi qu'un dispositif de commande pour commander le dispositif d'embrayage automatique et/ou la boite de vitesse automatique selon l'état de fonctionnement du véhicule, ca- ractérisé par les mesures suivantes: a) à partir d'une information représentant l'état de fonc- tionnement du véhicule, on génère une commande pour le dispositif d'embrayage automatique et/ou la boîte de vi- tesse automatique pour mettre ou tenir celle-ci à un état de réglage, b) suivant l'information représentant l'état de fonctionne- ment du véhicule, on vérifie si une opération de passage ou/et une commande de nature correspondante pour le pas- sage du dispositif d'embrayage automatique ou/et la boîte de vitesse automatique à l'état de réglage est autorisée, c) puis si selon la mesure a), on génère une commande pour obtenir l'état de réglage et si selon la mesure b) un passage à cet état de réglage ou/et un type de passage correspondant à la commande n'est pas autorisé, on prend des mesures de sécurité. En plus des caractéristiques évoquées ci-dessus de surveillance de différents capteurs ou des entrées de capteurs ou du mouvement de réglage de différents action- neurs, l'invention prévoit une sécurité, en ce qu'avant l'exécution ou la conversion d'une mesure de commande on vérifie celle-ci. Ainsi on peut déceler les défauts pour générer des mesures de commande, par exemple des erreurs de calcul dans un processeur, ou éviter une commande éventuellement erronée du véhicule qui passerait alors dans une situation critique du point de vue de la sécuri- té. Pour augmenter encore plus la sécurité par la procédure de l'invention il est proposé que la mesure de sé- curité à prendre selon la mesure c), consiste à mettre le dispositif à commander ou à maintenir dans un état de réglage non critique pour le fonctionnement du véhicule. On peut par exemple prévoir que pour un disposi- tif d'embrayage 26 automatique à commander, un état de ré- glage non critique est: * un état de réglage engagé ou essentiellement engagé, si le véhicule est dans un état pour lequel l'unité motrice 12 ne fonctionne pas, ou/et * un état de réglage débrayé ou essentiellement débrayé, si l'état de fonctionnement du véhicule est un état dans le- quel l'unité motrice 12 tourne, ou/et * un état avec une vitesse d'actionnement limitée si le vé- hicule se déplace et si le dispositif d'embrayage 20 a été actionné en direction de la position embrayée. Il est en outre prévu que pour une boîte de vi- tesse automatique à commander, un état de réglage non criti- que est une position neutre de la boîte de vitesse ou un état de commutation avec le rapport de vitesse engagé au moment ou avant de générer la mission de commande, si l'état de fonc- tionnement du véhicule est un état dans lequel le véhicule est en mouvement, ou/et un état de commutation pour lequel, au moment ou avant de générer la commande, le rapport de vi- tesse est engagé, si l'état de fonctionnement du véhicule est un état dans lequel le véhicule est pratiquement immobile. Pour éviter que ne se produise un état dans le- quel le système, du fait des problèmes engendrés par l'exécution d'un programme pour la mission de commande, puisse passer de nouveau dans un état critique pour la sécu- rité, il est proposé que la mesure de sécurité à prendre dans l'étape c) pour un nom- bre prédéterminé de cycles d'interrogation et/ou une durée prédéterminée, reste maintenue. On a une haute sécurité en cas de situations préalablement critiques si la mesure de sécurité à prendre selon la mesure c) reste maintenue jusqu'à ce que selon la mesure a), la commande prédéfinie pour maintenir l'état de réglage respectif soit générée, et selon la mesure b) le pas- sage ou/et la nature correspondante du passage suivant la commande dans l'état de réglage respectif soient autorisés. Dans ce cas, il est particulièrement avantageux que la mesure de sécurité à prendre selon la mesure c) reste maintenue pour un nombre prédéterminé de cycles d'interro- gation ou/et une durée prédéterminée, si non antérieurement selon la mesure b), le passage ou/et la nature respective de la commande pour la transition sont autorisés dans l'état de réglage respectif. Pour réduire au minimum le travail de calcul ou de traitement dans le processeur pour générer l'émission de commande, il est proposé de prendre la mesure b) ou/et c) seulement si l'exécution de la mission de commande conduit à une situation critique pour la sécurité. Cela signifie que si la situation dans laquelle peut arriver le véhicule après l'exécution de la conversion d'une mission de commande n'est pas une situation dangereuse pour le véhicule ou pour ses différents composants, cela peut être accepté de manière gé- nérale, car après l'entrée dans le nouvel état, le conducteur peut déceler l'erreur et prendre de lui-même une contre me- sure, si une nouvelle exécution d'un programme de commande conduit déjà au résultat correct. Par exemple le procédé selon l'invention peut prévoir que lors de la commande du dispositif d'embrayage au- tomatique, on effectue la mesure b) ou/et/ la mesure c) si l'exécution de commande peut produire le démarrage du véhi- cule ou/et si l'exécution de commande, le véhicule étant im- mobile, peut conduire à une situation non freinée du véhicule ou/et si l'exécution de commande à la fin de l'état de pati- nage, avec un patinage négatif des roues motrices peut de nouveau conduire à un tel état de patinage. De plus il est possible que pour la boite de vi- tesse automatique à commander, on prenne la mesure b) ou/et la mesure c) si l'exécution de commande entraîne un change- ment de sens de déplacement ou/et si l'exécution de commande risque d'emballer le moteur ou/et si l'exécution de commande, le véhicule étant à l'arrêt, peut conduire à un état non freiné du véhicule. La présente invention sera décrite ci-après de manière plus détaillée à l'aide d'un mode de réalisation pré- férentiel représenté schématiquement dans les dessins annexés dans lesquels: * la figure 1 est une vue schématique d'un système d'entraînement mettant en oeuvre le procédé d'invention, * les figures 2 à 7 montrent chaque fois le déroulement du procédé de l'invention dans différentes situations de mou- vements; * les figures 2 à 4 montrent l'exécution du procédé selon l'invention en combinaison avec un dispositif d'embrayage automatique, les figures 5 à 7 montrent l'exécution du procédé selon l'invention en liaison avec une boîte de vitesse automati- que. Selon la figure 1, on décrira de façon générale un système d'entraînement appliquant le concept de sécurité selon l'invention pour créer ou convertir des moyens de com- mande. Le système d'entraînement 10 comprend une unité mo- trice 12, par exemple un moteur à combustion interne 12 relié par un arbre d'entraînement 13 à l'entrée 16 d'un dispositif d'embrayage automatique 20, par exemple un embrayage à fric- tion. La sortie 22 de l'embrayage 20 est reliée à un arbre d'entrée 24 d'une boîte de vitesses automatique 26. L'arbre de sortie 28 de la boîte de vitesses entraîne des roues mo- trices 32, 34 par l'intermédiaire d'un différentiel 30. L'unité motrice 12, l'embrayage 20 et la boîte de vitesses 26 sont commandés par un dispositif de commande 36. Ce disposi- tif de commande 36 échange des données avec un dispositif de réglage de puissance 38 de l'unité motrice pour fournir des signaux de commande ou des ordres au dispositif de réglage de puissance 38 et commander ou réguler la puissance fournie ou le régime de l'unité motrice 12. Il est à remarquer que le dispositif de réglage de puissance 38, comprend uniquement la zone de l'unité motrice dans laquelle on peut agir sur sa vi- tesse de rotation ou la puissance fournie, par exemple le système d'injection, le système d'étranglement, le système d'allumage, le système des cames etc. Il est clair que le dispositif de réglage de puissance 38 fournit une information au dispositif de commande 36 caractérisant l'état de réglage de puissance de l'unité motrice 12. Le dispositif de commande 36 est en outre relié à un actionneur 40 de l'embrayage automatique 20 pour actionner l'embrayage 20 entre une position embrayée et une position débrayée par l'application de signaux d'actionnement corres- pondants. L'actionneur 40 peut également fournir des informa- tions au dispositif de commande 36 caractérisant l'état d'actionnement instantané de l'embrayage. Le dispositif de commande 36 fournit en outre des signaux de commande à l'actionneur 42 de la boîte de vitesses 26. Ces signaux de commande assurent l'exécution des opéra- tions de commutation dans la boîte de vitesses 26. Dans ce cas également, le dispositif de commande 36 fournit en retour des informations indiquant l'état de réglage instantané de la boîte de vitesses 26. Le dispositif de commande 36 reçoit en outre des informations I de différents capteurs selon l'information que le dispositif de commande 36 peut transmet- tre pour l'état de fonctionnement global du véhicule. Ainsi, il est par exemple prévu un capteur de vitesse de rotation 44 qui détecte la vitesse de rotation de l'arbre de sortie 14. Dans la mesure o la présente description concerne la détec- tion d'une vitesse de rotation, cela englobe également la saisie de n'importe quelle information caractérisant la vi- tesse de rotation (régime) qui est alors traitée par exemple en soi dans le dispositif de commande 36 pour déterminer ef- fectivement la vitesse de rotation. Un capteur de vitesse de rotation 46 détecte la vitesse de rotation de l'arbre d'entrée 26 de la boîte de vitesses et un capteur de vitesse de rotation 48 détecte la vitesse de rotation de l'arbre de sortie 28 de la boîte de vitesses. Des capteurs de vitesse de rotation 50, 52 détectent la vitesse de rotation des roues motrices 32, 34 ou des axes 54, 56 de ces roues. Selon les signaux fournis par les deux capteurs ou l'émission du cap- teur de vitesse de rotation 48, on peut calculer la vitesse du véhicule; cela signifie que les signaux fournis par les capteurs 48, 50, 52 contiennent une information relative à la vitesse du véhicule. En outre un capteur de commutation 58 détecte l'actionnement du levier de vitesse 60 fournit une informa- tion I correspondante au dispositif de commande 36. Selon cette information, le dispositif de commande 36 détecte l'opération de commutation que le conducteur souhaite exécu- ter et génère alors, à l'instant approprié, et le cas échéant en tenant compte d'autres informations représentant l'état de fonctionnement du véhicule, un ordre de commande approprié pour la boîte de vitesses 26. A ce niveau de la saisie de l'actionnement du levier de vitesse, l'exécution d'une commu- tation peut se faire à la manière d'une boîte de vitesses au- tomatique en fonction de l'état de conduite. Le système d'entraînement 10 comprend une pédale d'accélérateur 62 avec un capteur 64 associé dont le signal de sortie représente sur degré d'actionnement. Il est égale- ment prévu une pédale de frein 66 à laquelle est également associé un capteur 68. Le signal de ce capteur de pédale de frein 68 représente le degré d'actionnement de la pédale de frein 66. En fonction des entrées de ces capteurs et éven- tuellement d'autres entrées de capteurs par exemple provenant d'un capteur de température ambiante, d'un capteur de tempé- rature du fluide de refroidissement, d'un capteur de mouve- ment de lacet ou analogue, le dispositif de commande 36 génère différents ordres ou commandes qui sont alors transmis aux différentes unités ou composants à commander, c'est-à- dire le dispositif de réglage de puissance 38, le dispositif d'actionnement 40, et le dispositif d'actionnement 42, ser- vant à exécuter les opérations d'actionnement respectivement du moteur 12, du dispositif d'embrayage 20, ou de la boite de vitesse 26. Ces informations prédéterminées de commande sont déterminées dans le dispositif de commande 36 dans un proces- seur qu'exécute un programme de commande approprié recevant comme entrées les différentes entrées de capteur I, et géné- rant comme sorties des signaux de commande soit utilisés di- rectement comme des ordres pour les différentes zones de réglage 38, 40, 42, soit ensuite convertis dans le dispositif de commande 36 en ordres respectifs, transmis aux zones de réglage. On peut cependant rencontrer une situation dans laquelle, malgré le fonctionnement correct des capteurs et celui des systèmes à commander, pour l'exécution de l'opé- ration de calcul ou de détermination, pour obtenir les infor- mations prédéterminées, il se produit une erreur de calcul dans le processeur par exemple, à cause d'une valeur erronée, de sorte que la donnée de commande ainsi générée pour l'exécution d'une mesure de commande peut ne pas convenir pour la situation de conduite instantanée, ou contient en elle-même le risque qu'un véhicule avec un tel système d'entraînement 10 arrive dans une situation critique du point de vue de la sécurité, ou dans une situation dans laquelle on ne peut éviter d'endommager différents composants du système. Pour éviter ce risque, l'invention prévoit qu'au moins dans certaines situations de conduite suivantes, qui sont à dé- crire de manière plus précise, on détermine si partant d'une situation de conduite ou de fonctionnement instantané du vé- hicule, le passage dans un état de fonctionnement généré par l'exécution d'un ordre de commande est autorisé. Pour cela, on exécute essentiellement deux procédures dans le dispositif de commande 36. L'une des procédures désignées ci-après comme de niveau 1, sert à générer normalement une information de com- mande en fonction des différents paramètres ou entrées four- nies par des capteurs représentant la situation de conduite. L'autre procédure appelée ci-après niveau 2 sert à vérifier si, partant de la situation instantanée, il est autorisé de passer à une autre situation de conduite comme celle qui se produirait par l'exécution de l'ordre. Puis, on compare en continu pour retenir d'une part que le niveau 1 a généré cer- tains ordres de commande et que d'autre part dans le niveau 2, il y a un résultat de contrôle qui décide ou non dans le même sens que le niveau 1. Une discordance entre les niveaux 1 et 2, signifie que dans au moins l'une des deux procédures, un programme a été exécuté avec des erreurs, que des calculs erronés ont été effectués, sans reconnaître tout d'abord si le défaut correspond au niveau 1 ou au niveau 2. Dans une telle situation on décide alors que le système a été mis dans un état non critique ou est tenu dans cet état, sans risquer que des situations critiques potentielles se produisent. Les niveaux 1 et le 2 peuvent être préalimentés avec les mêmes entrées de capteur pour obtenir leur résultat moyen, c'est-à-dire que les deux niveaux peuvent être déter- minés à l'aide des mêmes informations caractérisant la situa- tion de conduite comme celles de leur réaction à partir de la situation instantanée. Les opérations de traitement exécutées aux deux niveaux peuvent se distinguer, ce qui permet au con- traire une plus grande sécurité évitant que dans les deux ni- veaux la même erreur de calcul risque de se produire, avec pour conséquence que les deux niveaux peuvent de nouveau dé- cider dans la même direction et que l'on ne peut reconnaître un défaut. Il est de plus possible de fournir des informa- tions différentes aux deux niveaux et à partir de différentes opérations de détermination, chaque niveau en déduit la si- tuation de conduite et décide des mesures à prendre. Par exemple, pour déterminer la situation de conduite lorsqu'une information relative à la vitesse du véhicule est nécessaire, l'un des deux niveaux fournit la sortie du capteur 48 et en fonction de cet envoi, ce niveau, tenant compte du diamètre de roue, du rapport de transmission du différentiel etc, peut calculer la vitesse du véhicule. L'autre des deux niveaux peut recevoir les émissions d'au moins l'un des capteurs 50, 52 pour déterminer la vitesse du véhicule ou l'émission des capteurs 46, 44 ainsi qu'une autre information représentent le rapport de démultiplication d'un rapport de vitesse ins- tantané de la boîte de vitesses 26. Cela permet également de conclure à la vitesse du véhicule à partir de la vitesse de rotation de l'axe de sortie 28 de la boite de vitesses en te- nant compte, le cas échéant du diamètre des roues. En fonc- tion des différentes informations et avec des algorithmes adaptés aux différentes informations, il faut que les deux niveaux arrivent à la même vitesse et ensuite s'il fallait prendre une mesure de commande uniquement en fonction de la vitesse de déplacement, il faudrait que le niveau 1 génère un signal de commande représentant la mesure et le niveau 2 de- vrait confirmer que l'exécution de cette mesure est autori- sée. Une discordance signifie une erreur de calcul dans l'un des niveaux comme cela a déjà été indiqué, et il faut alors veiller à ce qu'une situation critique engendrée par l'exécution de la mesure de commande ne risque pas de se pro- duire. L'exécution des deux procédures d'une part pour déterminer les signaux de commande et d'autre part pour cons- tater si partant de la situation de conduite instantanée, la prise de mesure de commande déterminée est autorisée, peuvent être différemment échelonnés dans le temps. De manière avan- tageuse, un mode de réalisation consiste à déterminer tout d'abord dans le niveau 1, en fonction de la situation de con- duite instantanée, si des mesures de commande doivent être prises et lesquelles. Puis, on détermine s'il s'agit de mesu- res qui peuvent engendrer des situations de conduite poten- tiellement critiques, de sorte que l'on active le niveau 2, c'est-à-dire que le niveau 2 commence seulement en fonction des informations mises à sa disposition et il exploite la si- tuation de conduite pour décider si finalement les mesures de commande prises dans le niveau 1 ou les signaux de commande doivent être exécutés. Si le niveau 2 arrive à la conclusion que les signaux de commande ne doivent pas être convertis, il conclut à l'existence d'une situation d'erreur et on commence à prendre des mesures de sécurité décrites ciaprès. De la même manière, il est possible de déterminer l'information disponible soit pendant, soit avant l'exécution du niveau 1 pour le niveau 2 et si, partant de la situation de conduite instantanée, on peut convertir différents signaux de commande ou de quels signaux de commande il s'agit. Si alors dans le niveau 1, on génère un signal de commande, celui-ci peut être comparé à la liste déjà établie des signaux de commande auto- risés à partir du niveau 2. Si cette liste contient les si- gnaux de commande prévus par le niveau 1, on conclut que les calculs ont été exécutés correctement et on transforme les signaux de commande. Dans la négative, on conclut à l'existence d'une situation d'erreur nécessitant la prise de mesures de sécurité. Il est à remarquer que les deux procédu- res du procédé de l'invention peuvent être exécutées dans différents processeurs, par exemple un processeur principal et un processeur de surveillance, reliés par une interface série. Le procédé selon l'invention sera décrit ci-après de manière détaillée à l'aide de différentes situations de conduite. Ainsi la figure 2 montre l'exécution du procédé se- lon l'invention pendant le démarrage du véhicule. D'abord l'étape Sl vérifie si le véhicule roule déjà ou s'il est en- core à l'arrêt. Si le véhicule roule, le traitement se pour- Il suit à l'étape S2 dans laquelle on décompte pas à pas une va- leur de comptage " anti-rebondissement " et on arrive alors à la fin ou à une nouvelle exécution du programme. Si à l'étape Si, on décide que le véhicule ne roule pas, l'étape S3 véri- fie si à partir des informations caractéristiques de la si- tuation de conduite, mises à sa disposition, le niveau 1 a décidé que l'embrayage doit être fermé, c'est-à-dire s'il a généré un signal de commande devant conduire à la fermeture de l'embrayage. Dans la négative, il ne peut se produire de situation potentiellement critique, car pour un véhicule im- mobile selon le niveau 1, l'embrayage ne doit pas être fermé. Puis, le traitement se poursuit au-delà de l'étape S2 jusqu'à sa fin. Si à l'étape S3, on constate que le niveau 1 a généré un signal de commande pour fermer l'embrayage, alors à l'étape S4, le niveau 2 active ou vérifie, pour savoir si se- lon le niveau 2 la situation instantanée permet le démarrage. Pour cela, on peut par exemple vérifier au niveau 2, si le moteur, donc l'unité motrice 12 fonctionne, si la pédale d'accélérateur est actionnée, si la boîte de vitesses est commutée, c'est-à-dire avec un rapport de vitesses passé ou en lancement de synchronisation, ou si ce rapport est un rap- port de démarrage. En fonction de différentes sorties de cap- teur fournies au niveau 2, toutes ces questions posées au niveau 2 peuvent recevoir une réponse. Ainsi le niveau 2 re- çoit par exemple une information concernant la vitesse du vé- hicule fournie par les capteurs 48, 50, 52, une information relative au régime du moteur, fournie par le capteur 44, une information relative à la position de la pédale d'accélé- rateur fournie par le capteur 64, une information concernant l'état de la boîte de vitesses par échange de données avec l'actionneur 42, une information concernant le rapport de vi- tesses passé, également par échange de données avec l'actionneur 42 et le cas échéant une information concernant la position instantanée de l'embrayage. Ces informations ou au moins une partie de celles-ci sont disponibles au niveau 1 pour déterminer les signaux de commande; toutefois comme dé- jà indiqué ci-dessus, il faut disposer ou utiliser des infor- mations différentes dans le niveau 1 et dans le niveau 2, pour déterminer la vitesse du véhicule ou le régime du mo- teur. Si maintenant le niveau 2 décide que toutes les conditions autorisant le démarrage sont satisfaites, alors à l'étape S2, on passe de nouveau à la fin du traitement. Si toutefois le niveau 2 arrive à la conclusion que la situation ne permet pas le démarrage, par exemple selon le point de vue du niveau 2, la condition " rapport de vitesses de démarrage passé " n'est pas satisfaite, on se trouve dans une situation dans laquelle les niveaux 1 et 2 décident dans des directions différentes bien qu'en définitive les deux niveaux devraient arriver au même résultat si le calcul avait été exécuté cor- rectement. On passe alors à l'étape S5 qui prend une mesure de sécurité interdisant que le passage à la situation de rou- lement potentiellement critique pour la sécurité, à savoir le démarrage. Dans cette situation de roulement ou de conduite avec le véhicule à l'arrêt mais l'unité motrice tournant, la mesure de sécurité est prédéfinie pour le débrayage de l'embrayage pour ne plus transmettre de couple par la ligne de transmission. Après l'étape S5, l'état de comptage " anti- * rebondissement " est augmenté d'un incrément dans une étape S6; l'étape S7 vérifie si l'état de comptage " anti- rebondissement " est supérieur à un seuil. Si l'état de comp- tage " anti-rebondissement " n'est pas supérieur au seuil, le traitement se poursuit jusqu'à la fin ou jusqu'à une nouvelle répétition. Comme la procédure représentée à la figure 2 est exécutée avec une cadence prédéterminée, par exemple toutes les 10 ms, alors si la situation de défaut continue, par cy- cle de travail, c'est-à-dire toutes les 10 ms, l'état de comptage " anti-rebondissement " compte dans le sens ascen- dant, de sorte que partant d'une valeur zéro, après un nombre prédéterminé de cycles de travail et ainsi après un temps prédéterminé, on atteint la valeur SEUIL. Toutefois si avant d'atteindre le seuil, il se produit une situation normale, c'est-à-dire une situation dans laquelle les deux niveaux dé- cident dans la même direction, cela termine le comptage du compteur anti-rebondissement et cet état de comptage anti- rebondissement est de nouveau diminué d'un décrément. Cela signifie que si la situation normale dure plus longtemps, l'état de comptage antirebondissement s'éloigne de nouveau du seuil et revient à sa valeurinitiale, par exemple égale à zéro. Pendant ce temps, les signaux de commande définis dans le niveau 1 sont effectivement transformés, supprimant la me- sure de sécurité prise à l'étape S5. Si, du fait de la prolongation de la situation d'erreur, l'étape S7 dépasse le SEUIL, alors on passe à l'étape S8; celle-ci, remet à zéro le programme, c'est-à- dire que les programmes représentant ou exécutant les niveaux 1 et 2 sont relancés au départ pour effacer des valeurs de mémoire éventuellement mal enregistrées et établir ainsi un état de démarrage défini. Pendant la remise à l'état initial, on conserve la mesure de sécurité dans l'étape S5, mais cette mesure de sécurité reste conservée indépendamment du proces- seur principal, c'est-à-dire indépendamment du niveau 1, par une commande appropriée de différents composants de circuit, par exemple par l'alimentation d'une vanne en fonction d'une information minimale comme le régime du moteur. On peut pré- voir que la remise à l'état initial soit effectuée dans l'étape S8, si pour une augmentation ou une diminution pas à pas, chaque fois d'une valeur de 1, à partir d'une valeur initiale zéro, l'état de comptage antirebondissement dépasse le chiffre 7. La figure 2 montre que le niveau 2 ne sera activé que si le signal de commande selon le niveau 1 risque effec- tivement de conduire à une situation critique. Cela permet de réduire à un faible niveau les calculs à exécuter, car le contrôle du niveau 2 est concrétisé sur l'opération précé- dente dans le niveau 1. En principe, il serait également en- visageable, en même temps ou avant de déterminer les signaux de commande dans le niveau 1, de laisser s'exécuter le niveau 2 et de ne faire une comparaison entre les résultats de cal- cul des niveaux 1 et 2 que si le niveau 1 pourrait conduire à un passage à une situation potentiellement critique. En outre au contrôle du niveau 2, dans le cas de la figure 2, il importe peu de quelle manière le niveau 1 ferme l'embrayage, c'est-à-dire avec quelle vitesse d'actionnement. Il faut seulement éviter une situation criti- que lorsque l'embrayage est engagé et si la situation de con- duite du véhicule ne l'autorise pas. La figure 3 montre une situation dans laquelle, l'étape S9, vérifie de nouveau si le véhicule roule. Si le véhicule n'est pas à l'arrêt, l'étape S10 décompte de nouveau l'état de comptage anti-rebondissement et alors on arrive à la fin de la procédure. Au contraire, si l'étape S9 constate que le véhicule est immobile, alors l'étape Sll vérifie si le signal de commande obtenu dans la situation de conduite pour le niveau 1 signifie une ouverture de l'embrayage. Si cela n'est pas le cas, on ne peut avoir de situation potentielle- ment critique et par l'étape S10, on atteint de nouveau la fin. Si le niveau 1 veut ouvrir l'embrayage, on vérifie dans l'étape S12 si le niveau 2 autorise ce débrayage. Pour cela, on vérifie si pour le niveau 2, les conditions de fermeture de l'embrayage sont satisfaites. Pour cela, le niveau 2 peut par exemple à partir de la vitesse du véhicule, l'actionnement du frein, la position réelle de l'embrayage, une position de consigne de l'embrayage, l'état de la boîte de vitesses et la vitesse de rotation de l'unité motrice, dé- terminer si en définitive le frein est actionné, l'embrayage fermé, si un rapport de vitesses est passé et si le moteur est à l'arrêt. Si par exemple le niveau 2 constate que le frein n'est pas actionné, que l'embrayage est fermé, qu'un rapport de vitesses est passé et que l'unité motrice est à l'arrêt, la conclusion est que l'ouverture de l'embrayage n'est pas autorisée; l'embrayage doit rester fermé, car le véhicule risquerait de rouler. C'est pourquoi l'étape S13 prend une mesure de sécurité, en embrayant l'embrayage 20 pour pouvoir utiliser le couple de l'unité motrice à l'arrêt. A l'étape S14, on augmente de nouveau l'état de comptage an- ti-rebondissement et l'étape S15 compare cet état de comptage au SEUIL. Si l'état de comptage n'a pas encore dépassé le seuil, on passe à la fin. Au contraire si l'état de comptage anti-rebondissement a dépassé le seuil, alors l'étape S16 exécute de nouveau une remise à l'état initial du programme. Ainsi lorsque le véhicule est à l'arrêt, la me- sure de sécurité concernant la commande de l'embrayage signi- fie l'actionnement ou non de l'embrayage en position embrayée, car de cette manière on évite que le véhicule ne roule accidentellement, dans la mesure o une vitesse est passée. Si dans l'étape S12, le niveau 2 arrive au résultat que la condition ou une partie des conditions nécessitant l'arrêt par l'embrayage ne sont pas satisfaites, c'est-à-dire si par exemple le frein est actionné, alors par l'étape S10, on passe de nouveau à la fin pour entériner l'ouverture de l'embrayage ou que l'embrayage restant fermé cela n'augmente pas l'insécurité. Dans ces conditions, on peut éviter que le véhicule ne roule par exemple en actionnant le frein. Dans la procédure représentée à la figure 4, au début, l'étape S17 détermine si dans une situation de con- duite précédente, il s'est produit un décrochage d'au moins l'une des roues motrices 32, 34 et si cette situation a déjà disparu. Un décrochage de roue est une situation dans laquelle par exemple sous l'effet de la libération spontanée de la pédale d'accélérateur ou lors de l'embrayage en rétro- gradant une rapport de vitesse, le couple de frein moteur en- gendré un patinage négatif pour l'une des roues entraînées 32 et/ou 34. Un tel décrochage de roue peut par exemple s'éviter par débrayage et ainsi réduction du couple de frein moteur. Après cela, dans le niveau 1, une étape S18 génère un signal de commande pour actionner l'embrayage dans le sens du dé- brayage. Dans l'étape S19, le niveau 2 détermine une vi- tesse d'actionnement maximale, c'est-à-dire une vitesse de fermeture maximale de l'embrayage 20. Cette vitesse d'actionnement maximale est limitée à un seuil et l'étape S24 vérifie si dans l'étape S18, la vitesse d'actionnement déter- minée dans le niveau 1 dépasse cette vitesse d'actionnement maximale pour le niveau 2. Dans l'affirmative, comme mesure de sécurité, dans une étape S20, on limite la vitesse d'actionnement à la vitesse d'actionnement maximale détermi- née dans le niveau 2; ensuite dans l'étape S21, on compte de nouveau dans le sens du comptage, l'état de comptage anti- rebondissement. Si cet état a dépassé le seuil correspondant, à la question dans l'étape S22, alors l'étape S23 relance de nouveau le programme. Si ce dépassement ne s'est pas produit, on termine la procédure ou on la redémarre suivant le cycle de travail. Si dans l'étape S24, la vitesse d'actionnement déterminée dans le niveau 1 n'a pas dépassé la vitesse d'actionnement maximale du niveau 2, alors l'étape S25 dé- compte de nouveau l'état de comptage anti-rebondissement et ensuite on termine la procédure ou on convertit les signaux de commande. Dans cette procédure exécutée pendant une situa- tion de conduite, la mesure de sécurité consiste à limiter la vitesse d'actionnement de l'embrayage pour ne pas risquer un décrochage de roue produit par un embrayage rapide. Pour ce- la, on peut par exemple fournir une information au niveau 2 ou/et au niveau 1 caractérisant les coefficients de friction du revêtement de chaussée. Dans cette situation de conduite, les grandeurs caractéristiques sont celles qui reconnaissent le décrochage de roue, par exemple une comparaison des si- gnaux émis par les capteurs 50, 52 avec une comparaison d'information correspondante provenant de roues non motrices. En outre, la position de consigne d'embrayage, c'est-à-dire la position dans laquelle il faut mettre l'embrayage et la vitesse du véhicule ainsi que le rapport passé, car celui-ci constitue un facteur essentiel de l'amplitude du couple de frein moteur engendré, sont des éléments importants. La figure 5 montre une situation dans laquelle des mesures de sécurité sont prises dans certaines circons- tances pour la boîte de vitesses 26. La figure 5 représente une situation dans laquelle une rétrogradation commandée par le niveau 1 vers un rapport de vitesses plus faible peut éventuellement engendrer une situation critique. C'est pour- quoi l'étape S36 demande si, en fonction des informations disponibles, le niveau 1 a commandé une telle rétrogradation. Dans la négative, l'étape S27 fixe comme cible le rapport à passer, c'està-dire un rapport supérieur, et à l'étape S28, on décompte l'état de comptage anti-rebondissement, avant de terminer la procédure ou le cycle de travail. Si dans l'étape S26, on reconnaît que le niveau 1 commande de rétrograder, alors dans une étape S29 qui fait déjà partie du niveau 2, on calcule une vitesse de rotation cible qui, après rétrograda- tion, est donnée à l'entrée de la boîte de vitesses, c'est-à- dire à son arbre d'entrée 24, en fonction du régime du mo- teur, c'est-àdire du régime détecté par le capteur 14 de l'arbre d'entraînement. Au cours de l'étape S30, en fonction de la vi- tesse de rotation de l'arbre de sortie de la boîte de vitesse et en tenant compte du rapport de vitesse à passer, on déter- mine la vitesse cible prévisible de l'arbre d'entrée 24 de la boîte de vitesse; dans l'étape S31, en fonction de la vi- tesse du véhicule c'est-à-dire des informations fournies par les capteurs 50, 52, on détermine la vitesse cible de l'arbre d'entrée 24 de la boîte de vitesse. Dans l'étape S32 on prend la valeur maximale des trois vitesses cibles ainsi obtenues pour arriver en définitive à la plus grande sécurité possi- ble. Ensuite, dans l'étape S33, on détermine encore une vi- tesse de rotation dans le niveau 2, c'est-à-dire une vitesse de rotation que l'arbre d'entrée 24 ne doit pas dépasser après l'opération de commutation. Ce seuil maximum de la vi- tesse de rotation peut être une grandeur fixe prédéterminée ou une grandeur dépendant de l'état du véhicule, par exemple la vitesse de rotation instantanée de l'unité motrice 12. Si dans l'étape S34 la vitesse de rotation cible, maximale est supérieure à ce seuil de vitesse, alors l'étape S35 fixe comme rapport cible à titre de mesure de sécurité, le rapport de vitesse instantané pour éviter de rétrograder, et la boîte de vitesse reste dans son état instantané. Cela évite qu'au cours de l'embrayage consécutif du dispositif d'embrayage 20, l'unité motrice 12 ne s'emballe et passe dans une plage de vitesse de rotation éventuellement dangereuse. L'étape S36 compte de nouveau l'état de comptage anti-rebondissements et l'étape S37 vérifie si le seuil de l'état de comptage anti- rebondissements a été dépassé. Dans la négative on passe à la fin; si le seuil a déjà été dépassé, on exécute de nouveau la remise à l'état initial du programme dans l'étape S38. Si l'étape S34 constate que la vitesse de rota- tion cible, maximale obtenue dans le niveau 2 ne dépasse pas le seuil, on peut de nouveau fixer comme rapport de vitesse de cible, le rapport souhaité; dans ce cas il s'agit d'un rapport inférieur (étape S27) puis après décomptage de l'état de comptage de rebondissements dans l'étape S28 on termine la procédure. Comme déjà indiqué, on peut prévoir dans ce cas une valeur fixe pour le seuil de la vitesse de rotation, et qui peut être différente pour les différents types d'unités motrices. On détermine le seuil selon l'état de fonctionne- ment, par exemple en tenant compte du signal fourni par un capteur d'accélération longitudinale ou aussi un capteur d'accélération transversale, pour éviter que par exemple dans un déplacement en courbe, un éventuel effet de frein moteur trop intense entraîne un freinage excessif du véhicule. La figure 6 montre le cas selon lequel dans l'étape S39 on détermine si une opération de commutation re- commandée par le niveau 1 a ou non produit un changement de direction de déplacement, c'est-à-dire si par exemple on est passé d'un premier rapport de marche avant à un rapport de marche arrière ou d'un rapport de marche arrière à un premier rapport de marche avant. Dans la négative, dans une étape S40, on peut fixer comme rapport cible, le rapport souhaité, recommandé par le niveau 1. Puis après décomptage de l'état de comptage anti-rebondissements dans l'étape S41, on termine la procédure ou le cycle de fonctionnement. Mais si le niveau 1 a recommandé un changement de direction de déplacement c'est-à-dire une commutation pour changer de direction de dé- placement, alors dans l'étape S42 on vérifie si le niveau 2 l'a accepté. Si en fonction de la vitesse de rotation d'entrée du moteur, de la position réelle de la boîte de vi- tesse, de la position du levier de commutation ou de son ac- tionnement, de la vitesse du véhicule, de la vitesse de rotation cible, du rapport de vitesse cible et du rapport réel, le niveau 2 autorise également un changement de sens de déplacement, cela peut finalement se produire dans l'étape S40. Si le niveau 2 reconnaît toutefois dans l'étape S42 qu'un tel changement de sens de déplacement n'est pas au- torisé, par exemple parce que le niveau 2 a reconnu que l'élément de manoeuvre a été déplacé dans une autre direction, alors l'étape S43 vérifie si le véhicule se déplace ou est immobile. Si le véhicule est immobile, dans l'étape S44, on prédétermine comme mesure de sécurité, comme rapport cible, le rapport qui vient d'être passé et dans l'étape S45 on compte dans le sens ascendant l'état de comptage anti- rebondissements. Si l'étape S43 constate que le véhicule se déplace, alors l'étape S46 prédétermine comme rapport de vi- tesse cible, la position neutre pour la boîte de vitesse; puis dans l'étape S45 on compte de nouveau dans le sens as- cendant, l'état de comptage anti-rebondissements. On voit ainsi que des mesures de sécurité différentes sont prises suivant que le véhicule roule ou est à l'arrêt. Dans le cas d'un véhicule à l'arrêt, on obtient la plus grande sécurité si le rapport de vitesse passé reste engagé pour éviter que le véhicule ne puisse rouler. Dans le cas d'un véhicule en mouvement, on obtient la plus grande sécurité possible par la mise au point mort de la boîte de vitesse, car d'abord on ne connaît pas exactement le niveau qui a pris la décision erro- née et ainsi il n'est pas clair quel moyen de commande serait en définitive correct. Dans ce cas également, dans l'étape S47 on véri- fie de nouveau si l'état de comptage anti-rebondissements a déjà dépassé le seuil correspondant. Dans la négative on ter- mine le cycle de travail; dans l'affirmative on exécute de nouveau la remise à l'état initial du programme dans l'étape S48. La figure 7 montre une situation dans laquelle une commande erronée de la boîte de vitesse 26 pourrait se traduire par le déplacement non voulu du véhicule. D'abord dans l'étape S49 on vérifie si le véhicule est effectivement à l'arrêt. Dans la négative, dans l'étape S50 on décompte l'état de comptage antirebondissements puis on termine la procédure. Si le véhicule est immobile, on vérifie dans l'étape S51 si selon le niveau 1, il faut exécuter un ordre de commutation pour passer en position de commutation neutre. Dans la négative, on ne peut rencontrer de situation poten- tiellement critique et le traitement se poursuit par l'étape S50. Si le niveau 1 veut commuter en position neutre, on vé- rifie alors dans l'étape S52 si selon le niveau 2, les condi- tions pour respecter une position de commutation non neutre sont satisfaites, c'està-dire si le véhicule n'a pas à être immobilisé par l'action du frein moteur. Pour cela, en fonction des grandeurs d'entrée: vitesse de rotation de l'unité motrice, vitesse du véhicule, actionnement des freins, état de la boîte de vitesse, rapport de vitesse engagé, position de l'embrayage et rapport de vi- tesse à engager, le niveau 2 peut déterminer si la situation instantanée de déplacement est une situation dans laquelle, du fait d'un manque d'actionnement de freins, d'autres mesu- res permettent de retenir le véhicule par l'unité motrice. Si par exemple le niveau 2 reconnaît que le frein n'a pas été actionné mais que l'embrayage est embrayé, qu'un rapport de vitesse est engagé et que l'unité motrice 12 ne tourne pas, alors le niveau constate qu'il s'agit d'une situation dans laquelle le véhicule doit et peut-être retenu par action de frein moteur, et le niveau décide ainsi que les conditions d'arrêt sont satisfaites. Dans l'étape S53 par mesure de sé- curité on empêche ou on interrompt l'opération de passage de rapport de vitesse recommandée dans le niveau 1, et dans l'étape S54, on incrémente de nouveau l'état de comptage an- ti-rebondissements. Si dans l'étape S55, la valeur SEUIL a déjà été dépassée, alors dans l'étape S56 on déclenche une remise à l'état initial du programme et ensuite la procédure se termine. Si la valeur SEUIL n'est pas encore atteinte, on n'exécute pas encore la remise à l'état initial du programme. La présentation ci-dessus des différentes situa- tions de mouvement dans lesquelles une vérification d'une mission de commande recommandée peut aboutir significative- ment à une plus grande sécurité, montre que suivant l'état de fonctionnement, dans lequel se trouve instantanément un sys- tème ou le véhicule, on prend des mesures différentes pour que s'il y a une discordance entre le plan des ordres et le plan du contrôle, on évite une situation critique potentielle qui peut par exemple être engendrée du point de vue de la commande de l'embrayage par: * Démarrage par embrayage du dispositif d'embrayage 20, lorsque l'unité motrice 12 fonctionne (mesure de sécuri- té: débrayer ou maintenir l'embrayage 20 débrayé). * Déplacement du véhicule immobile par débrayage de l'embrayage 20 (mesure de sécurité: embrayer ou maintenir l'embrayage 20 embrayé). * Débrayage rapide après éclatement du pneu et ainsi désta- bilisation du véhicule (mesure de sécurité: limiter la vitesse d'engagement). Dans la commande de la boîte de vitesse on peut rencontrer des situations critiques potentielles suivantes: * Changement de sens de déplacement par exécution d'une opé- ration de commutation correspondante (mesure de sécurité: pour un véhicule en mouvement, débrayer et maintenir dé- brayé le dispositif d'embrayage 20 ou mettre la boîte de vitesse en position neutre; pour un véhicule immobile: maintenir un rapport de vitesse engagé). * Rétrogradation provoquant une vitesse de rotation trop élevée de l'axe d'entrée de la boîte de vitesse (mesure de sécurité: interdire la rétrogradation et rester sur le rapport engagé). a Roulement du véhicule par suite du dégagement d'un rapport de vitesse, lorsque le véhicule est à l'arrêt (mesure de sécurité: maintenir le rapport de vitesse engagé). Dans d'autres situations de déplacement dans les- quelles l'exécution ou la conversion d'une consigne de com- mande ne peut pas faire passer dans une situation potentielle critique, on peut également surveiller selon l'invention par un second plan mais cela n'est pas indispensable pour la sé- curité. En outre par exemple dans les situations dans lesquelles dans le niveau 2, on vérifie plusieurs états ou conditions, le procédé selon l'invention est également conçu pour que les mesures de sécurité ne soient effectivement pri- ses que d'une part s'il y a une discordance entre le niveau 1 et le niveau 2 et d'autre part si les mesures de sécurité prises augmentent en définitive la sécurité globale du sys- tème. Si par exemple au cas o dans le niveau 1, l'unité mo- trice étant à l'arrêt, on recommande le débrayage de l'embrayage et si dans le niveau 2 on constate qu'aucun rap- port n'est passé et que la boîte de vitesse est dans une po- sition neutre, finalement pour protéger le système contre tous mouvements il importe peu que l'embrayage soit ou non embrayé car on ne peut utiliser le frein moteur. Dans ce cas 0 on peut libérer le niveau 2 en exécutant la commande de con- signe, car une condition qui serait nécessaire pour arriver à un niveau de sécurité plus élevé n'est en définitive pas réa- lisable. Les différentes situations de fonctionnement dé- crites ci-dessus n'ont pas nécessairement les mêmes états de comptage ou seuils de comptage; de plus pour chaque état dans lequel la procédure selon l'invention peut s'utiliser, on fixe une valeur particulière pour l'état de comptage et/ou le seuil. R E V E N D I C A T I ON S 1 ) Procédé de commande d'un système d'entraînement d'un vé- hicule automobile, ce système d'entraînement (10) comportant un dispositif d'embrayage automatique (20) et/ou une boîte de vitesse automatique (26), ainsi qu'un dispositif de commande (36) pour commander le dispositif d'embrayage automatique (20) et/ou la boite de vitesse automatique (26) selon l'état de fonctionnement du véhicule, caractérisé par les mesures suivantes: a) à partir d'une information représentant l'état de fonc- tionnement du véhicule, on génère une commande pour le dispositif d'embrayage automatique (20) et/ou la boite de vitesse automatique (26) pour mettre ou tenir celle-ci à un état de réglage, b) suivant l'information représentant l'état de fonctionne- ment du véhicule, on vérifie si une opération de passage ou/et une commande de nature correspondante pour le pas- sage du dispositif d'embrayage automatique (20) ou/et la boite de vitesse automatique (26) à l'état de réglage est autorisée, c) puis si selon la mesure a), on génère une commande pour obtenir l'état de réglage et si selon la mesure b) un passage à cet état de réglage ou/et un type de passage correspondant à la commande n'est pas autorisé, on prend des mesures de sécurité. 2 ) Procédé selon la revendication 1 caractérisé en ce que selon la mesure c), la mesure de sécurité à prendre consiste à mettre ou à maintenir le dispositif (20, 26) à commander dans un état de réglage non critique pour l'état de fonction- nement du véhicule. 3 ) Procédé selon la revendication 2, caractérisé en ce que pour un dispositif d'embrayage (26) automatique à commander, un état de réglage non critique est: * un état de réglage engagé ou essentiellement engagé, si le véhicule est dans un état pour lequel l'unité motrice (12) ne fonctionne pas, ou/et * un état de réglage débrayé ou essentiellement débrayé, si l'état de fonctionnement du véhicule est un état dans le- quel l'unité motrice (12) tourne, ou/et * un état avec une vitesse d'actionnement limitée si le vé- hicule se déplace et si le dispositif d'embrayage (20) a été actionné en direction de la position embrayée. 4 ) Procédé selon la revendication 2 ou 3, caractérisé en ce que pour une boîte de vitesse (26) automatique à commander, un état de réglage non critique est une position neutre de la boîte de vitesse (26) ou un état de commutation avec le rap- port de vitesse engagé au moment ou avant de générer la com- mande, si l'état de fonctionnement du véhicule est un état dans lequel le véhicule est en mouvement, ou/et un état de commutation pour lequel, au moment ou avant de générer la commande, le rapport de vitesse est engagé, si l'état de fonctionnement du véhicule est un état dans lequel le véhi- cule est pratiquement immobile. ) Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que la mesure de sécurité à prendre selon la mesure c) pour un nombre prédéterminé de cycles d'interrogation et/ou une durée prédéterminée, reste maintenue. 6 )Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que la mesure de sécurité à prendre selon la mesure c) reste maintenue jusqu'à ce que selon la mesure a), la commande pré- définie pour maintenir l'état de réglage respectif soit géné- rée, et selon la mesure b) le passage ou/et la nature correspondante du passage suivant la commande dans l'état de réglage respectif soient autorisés. 7 ) Procédé selon les revendications 5 ou 6, caractérisé en ce que la mesure de sécurité à prendre selon la mesure c) reste maintenue pour un nombre prédéterminé de cycles d'interrogation ou/et une durée prédéterminée, si non anté- rieurement selon la mesure b), le passage ou/et la nature respective de la commande pour la transition sont autorisés dans l'état de réglage respectif. 8 ) Procédé selon l'une quelconque des revendications 1 à 7, caractérisé en ce que la mesure b) ou/et la mesure c) ne sont effectuées que si l'exécution de la commande conduit à un état critique pour la sécurité. 9 ) Procédé selon l'une quelconque des revendications 1 à 8, caractérisé en ce que pour un dispositif d'embrayage automatique à commander (20) on prend la mesure b ou/et la mesure c) si l'exécution de la commande peut conduire au démarrage du véhicule ou/et si l'exécution de la commande, le véhicule étant à l'arrêt, con- duit à un état non freiné de celui-ci et/ou si l'exécution de la commande après la fin du patinage avec un patinage négatif des roues motrices peut de nouveau conduire à un tel état de patinage. ) Procédé selon l'une quelconque des revendications 1 à 9, caractérisé en ce que pour une boîte de vitesse automatique (26) à commander, on prend la mesure b) ou/et la mesure c) si: * l'exécution de la commande préalable entraîne un change- ment de sens de déplacement ou/et * l'exécution de la commande préalable peut aboutir à un em- ballement de l'unité motrice ou/et * l'exécution de la commande préalable, le véhicule étant l'arrêt, peut conduire à un état non freiné.