FR 3011780 A1 20150417 FR 1459636 A 20141008 Domaine de l'invention La présente invention se rapporte à un procédé de gestion sécurisée de l'entraînement d'un véhicule automobile ainsi qu'à un dispositif pour la mise en oeuvre du procédé. L'invention a également pour objet un produit-programme d'ordinateur pour la mise en oeuvre du procédé et un support de mémoire électronique pour l'enregistrement du procédé et aussi un appareil de commande pour l'exécution du procédé. Etat de la technique Le document DE 44 38 714 A 1 décrit un procédé de com- mande de la puissance motrice fournie par un véhicule utilisant uniquement un micro-ordinateur pour exécuter les fonctions de commande et les fonctions de surveillance. Le micro-ordinateur contient à cet effet au moins deux plans indépendant l'un de l'autre ; le premier plan assure les fonctions de commande et le second plan assure les fonctions de surveil- lance. Selon le document DE 10 2013 218 554, non publié antérieurement, on connaît un procédé de surveillance de l'entraînement d'un véhicule automobile qui saisit une surveillance d'accélération et si il y a un état de fonctionnement de l'entraînement qui remplit au moins une condition prédéfinie, il surveille l'autorisation de l'état de fonctionnement de l'entraînement par une surveillance de la vitesse de rotation au lieu de surveiller l'accélération. Exposé et avantages de l'invention La présente invention a pour objet un procédé de gestion sécurisé d'un entraînement de véhicules automobiles comprenant une surveillance de régime selon laquelle, si la vitesse de rotation réelle n du moteur thermique dépasse un seuil inférieur prédéfini de vitesse de rotation, exécute une mesure de réaction de défaut, cette mesure de réaction de défaut étant choisie en fonction de l'existence d'autres conditions pré- définies. Ainsi l'invention concerne un procédé particulièrement simple de gestion sécurisée de l'entraînement d'un véhicule équipé d'un moteur thermique et en option une autre unité d'entraînement, par exemple une machine électrique ou un moteur hydraulique qui peuvent fonctionner comme moteur ou comme générateur. Le procédé selon l'invention constitue un développement de la surveillance de régime connu selon le document DE 10 2013 218 554 ; le procédé de l'invention a l'avantage, que s'il s'agit effectivement d'un dé- faut de l'entraînement lié par exemple à des injections non voulues et/ou à une indication excessive de couple, non voulue, on peut réaliser un passage aussi sécurisé que possible dans le mode de fonctionnement de secours que peut dominer le conducteur avec par exemple la possibilité d'atteindre le prochain atelier mécanique. Si en revanche, l'entraînement n'a pas de défaut, le fonctionnement de l'entraînement avec une limitation minimale de la possibilité de conduite sera fourni au conducteur sans limiter les capacités de conduite par le mode de fonctionnement de secours. Ce procédé particulièrement simple repose sur la surveil- lance du régime (vitesse de rotation). Ainsi, lorsque la vitesse de rotation réelle du moteur thermique dépasse un seuil inférieur prédéfini de vitesse de rotation on exécute une mesure de réaction de défaut et cette mesure de réaction de défaut est choisie en fonction de ce que d'autres conditions sont remplies. Ces autres conditions peuvent notamment comporter la condition selon laquelle la vitesse de rotation réelle doit également dépas- ser un seuil supérieur prédéfini de vitesse de rotation. La mesure de réaction de défaut est ainsi notamment une mesure concernant la commande du moteur thermique. Selon un autre développement, si la vitesse de rotation réelle dépasse le seuil supérieur prédéfini de vitesse de rotation, on vérifie si la commande d'injection de l'appareil de commande a reçu une requête d'injection de carburant. Cette requête peut également se faire dans le cadre du procédé de commande connu selon le document DE 44 38 714 A 1 par exemple selon la fonction de commande du premier plan. Si cette requête est transmise, il est prévu avantageusement de transmettre un ordre à la commande de la soupape d'injection qui fait que malgré la requête qui a été transmise à la commande d'injection, aucun ordre de commande d'injection de carburant ne sera transmis à la soupape d'injection. Cela signifie que l'ordre « coïncide » avec la requête. Cet ordre peut être fourni dans le cadre du procédé de commande connu selon le document DE 44 38 714 A1, par exemple et peut être exécuté par la fonction de surveillance du second plan. On peut prévoir que le seuil supérieur de vitesse de rotation et/ou le seuil inférieur de vitesse de rotation sera prédéfini en fonction de la demande du conducteur qui correspond au degré d'accentuation de la pédale d'accélérateur. Cela rend le procédé particulièrement confortable pour le conducteur. Selon un autre développement de l'invention, il est prévu que si cet ordre a pour conséquence que la commande de la soupape d'injection ne transmet aucun ordre de commande d'injection de carbu- rant de la soupape d'injection, c'est-à-dire si l'ordre coïncide selon la pré- vision avec l'ordre et si la vitesse de rotation réelle du moteur thermique n'effectue pas d'oscillation critique, au moins une mesure parmi un ensemble de mesures de réduction du couple généré par le moteur thermique lors du procédé de combustion ne sera lancée. Cela permet d'une manière particulièrement simple d'améliorer la sécurité de la gestion de la ligne d'entraînement. Suivant une autre caractéristique, dans le cadre du procédé, il peut se présenter une situation sur laquelle la vitesse de rotation du moteur thermique diminue à cause des moyens réduisant le couple, dès que le seuil de vitesse de rotation est dépassé de sorte que la vitesse de rotation continue de nouveau de descendre en-dessous du seuil de vitesse de rotation. Après que la vitesse de rotation soit passée en-dessous du seuil de vitesse de rotation, il peut arriver que l'injection du moteur thermique soit de nouveau libérée et/ou que des mesures soient prises pour neutraliser les mesures réduisant le couple de rotation de sorte qu'ensuite la vitesse de rotation réelle augmente de nouveau, ce qui peut conduire aux oscillations évoquées ci-dessus. De façon avantageuse, les critères concernant la présence d'oscillations critiques, le critère sur lequel la vitesse de rotation réelle os- cille autour du seuil supérieur de vitesse de rotation et/ou le critère sur lequel la valeur maximale du gradient en fonction du temps de la vitesse de rotation réelle a dépassé un seuil prédéfini pendant une période de l'oscillation. Ce dernier cas peut signifier que seulement les gradients positifs de la vitesse de rotation soient pris en compte, ce qui permet de réa- gir, d'une manière particulièrement fiable, des montées rapides de la vitesse de rotation neutralisant d'une manière particulièrement efficace des états de fonctionnement potentiellement dangereux. Ce dernier cas peut également signifier que la valeur absolue du gradient dépasse le seuil prédéfini et réagit ainsi de manière fiable à une chute particulièrement rapide de la vitesse de rotation réelle. Un développement particulièrement avantageux de l'invention comprend la multiplicité des mesures pour lancer le mode d'alimentation en air de secours. Cela signifie que le volet d'étranglement du moteur à combustion interne sera commandé pour que son degré d'ouverture diminue se traduisant par la traduction de la quantité d'air alimentant la combustion pour réduire d'une manière particulièrement efficace le couple fourni par le moteur thermique. Cela peut se faire par exemple par la commande du volet d'étranglement à l'aide de l'ordre de commande « coupure de courant », c'est-à-dire que la bobine commandant le volet d'étranglement ne sera pas alimentée, ce qui se traduit par la fer- meture du volet d'étranglement. Selon un autre développement particulièrement avantageux de l'invention, l'ensemble des mesures comprend l'abaissement du seuil prédéfini de vitesse de rotation. Cette solution a l'avantage d'être particu- lièrement simple et d'agir très rapidement, car le chemin d'injection du moteur à combustion interne réagira particulièrement rapidement. Selon un autre développement de l'invention, si l'ordre d'injection transmet l'ordre de commande pour injecter du carburant, c'est-à-dire si « la concordance entre la requête et l'ordre ne conduit pas au résultat prévu », on effectue une remise à l'état initial du programme de commande de l'appareil de commande. On a constaté que la concordance non réussie de la requête et de l'ordre peut être éliminée dans de nombreux cas par la remise à l'état initial déclenchée par la réinitialisation du programme de commande. Selon un autre développement de l'invention, si à la fin d'un intervalle de temps prédéfini, malgré la transmission de l'ordre, le carburant continue d'être injecté et s'il n'y a pas de défaut de surveillance de régulation, un autre groupe d'entraînement, notamment une machine électrique ou un moteur électrique de l'entraînement, effectue une cou- pure du système d'injection du moteur à combustion interne. Cela signifie qu'en particulier la remise de la partie de la commande qui génère l'ordre de commande de la soupape d'injection est lancée. Les interfaces de communication de l'appareil de commande n'effectuent alors aucune remise à l'état initial. L'expression « concernant la surveillance » signifie par exemple que ce terme exclut les défauts qui ne sont pas déterminant pour la surveillance si l'autre unité d'entraînement a déjà été coupée en sécurité ou est limitée au mode de fonctionnement comme générateur. Cette solution a notamment l'avantage de permettre de contrôler l'entraînement par l'autre unité d'entraînement. Selon un autre développement de l'invention, si à la fin d'un second intervalle de temps prédéfini, malgré la transmission de l'ordre, du carburant peut continuer d'être injecté, on coupe le système d'injection du moteur thermique ou on coupe les interfaces de communication de l'appareil de commande. Ces mesures peuvent être déclenchées dans le cadre du procédé de commande selon le document DE 44 38 714 A1, avantageusement par circuit « chien de garde » dans un troisième plan de surveillance de circuit. Cette mesure a l'avantage particulier d'augmenter encore plus la sécurité de l'entraînement car coupant les interfaces de communication de l'appareil de commande, on raccorde d'autres compo- sants de l'entraînement qui ne sont pas raccordés à ces interfaces de communication et permettent de réagir par un fonctionnement de secours sécurisé à l'absence d'information de communication de l'appareil de communication. Selon un autre développement de l'invention, si la vitesse de rotation réelle ne dépasse pas le seuil supérieur prédéfini de vitesse de ro- tation, une vitesse de rotation de consigne sera prédéfinie qui est la consigne de seuil pour la régulation de la vitesse de rotation réelle. Cette vitesse de rotation de consigne, prédéfinie, est notamment limitée dans sa dynamique, c'est-à-dire qu'elle est choisie pour que son gradient en fonc- tion du temps ne dépasse pas un seuil de gradient prédéfini de vitesse de rotation de consigne. Cette solution a l'avantage qu'une demande du conducteur, dans le sens de l'augmentation, sera certes appliquée avec un léger retard, mais son application reste néanmoins possible. Selon un autre développement, une mesure de réaction de défaut sera déduite de ce que le gradient dans le temps de la vitesse de rotation réelle dépasse un second seuil de gradients. Le second seuil de gradient peut par exemple être choisi égal au seuil de gradient de vitesse de rotation de consigne ou être légèrement supérieur. Cela permet d'une manière particulièrement simple de vérifier si la conversion de la vitesse de rotation de consigne est défectueuse. Selon un autre développement possible, si le gradient dans le temps de la vitesse de rotation réelle dépasse le second seuil de gradient on prendra au moins une mesure parmi un ensemble de mesures pour réduire le couple généré par le moteur à combustion interne, par exemple le passage en mode de secours. Cela permet, d'une manière particulière- ment simple de réagir efficacement à la conversion entachée de défaut de la vitesse de rotation de consigne. Selon un autre développement de l'invention, l'autre unité d'entraînement du système d'entraînement sera commandée selon qu'il y a une action du système de freinage, c'est-à-dire si les autres conditions prédéfinies comprennent la condition de l'existence d'une intervention du système de freinage. L'expression « intervention » doit être considérée ici comme large et englober également des cas dans lesquels une demande de freinage du conducteur du véhicule a certes été transmise, mais n'a pas été suivie par l'application d'un couple négatif (couple de freinage) aux roues du véhicule par le frein. Une demande de freinage d'un système d'assistance de conduite par exemple du système ACC peut également être assimilée à une demande de freinage du conducteur. De façon avantageuse, s'il y a une intervention du système de freinage, l'autre unité d'entraînement ne fonctionnera que comme géné- rateur, c'est-à-dire que cette autre unité d'entraînement peut fonctionner comme moteur selon un développement de l'invention et sera commandée pour ne pas injecter de couple d'accélération dans l'entraînement. Sur une autre caractéristique, un couple de consigne de gé- nérateurs est prédéfini pour l'autre unité d'entraînement. Cela permet de lancer particulièrement rapidement et sans retard le véhicule, car l'établissement de la force de freinage dans un système de freinage hydraulique se fait de façon retardée à cause de la nécessité d'établir la pression de frein. En variante ou en complément, s'il n'y a pas d'intervention, l'autre unité d'entraînement ne fonctionnera que comme générateur. On évite ainsi efficacement que la machine électrique pour une intervention régulant la vitesse de rotation est déstabilisée dans la commande du mo- teur thermique, ce qui augmente d'autant la sécurité du procédé. Selon un autre développement, l'invention a pour objet un programme d'ordinateur pour exécuter toutes les étapes du procédé décrit ci-dessus. Selon un autre développement, l'invention a pour objet une mémoire électronique sur laquelle est enregistré le programme. Enfin, suivant un autre développement, l'invention a pour objet un appareil de commande exécutant le procédé par la lecture de la mémoire électronique. Dessins La présente invention sera décrite ci-après, de manière plus détaillée, à l'aide d'un exemple de procédé de surveillance de la ligne d'entraînement d'un véhicule représenté dans les dessins annexés dans lesquels : la figure 1 est un schéma par blocs du procédé de surveillance de la ligne d'entraînement, la figure 2 montre le choix possible des seuils de vitesse de rotation, la figure 3 est un diagramme montrant la structure schématique de la surveillance de la vitesse de rotation. Description de modes de réalisation La figure 1 montre l'appareil de commande 1 exécutant le procédé de l'invention. Dans l'exemple de réalisation non limitatif représenté, l'appareil de commande 1 comporte un microprocesseur exécutant le procédé de l'invention. L'appareil de commande 1 reçoit, de façon connue, un degré d'actionnement FW du capteur de pédale d'accélérateur 5 ; ce degré d'actionnement correspond par exemple à 0 (la pédale d'accélérateur n'est pas actionnée jusqu'à 1 (la pédale d'accélérateur est enfoncée). L'appareil de commande gère le moteur à combustion interne (moteur thermique) 10 et la machine électrique 40. Dans le premier plan (plan 1) on détermine à partir du de- gré d'actionnement FW, les grandeurs de commande appropriées pour le moteur thermique 40, notamment le degré d'ouverture du volet d'étranglement DK et l'angle d'allumage ZW, information transmise au moteur thermique 40. Le premier plan comprend la commande de la soupape d'injection 30. La commande de la soupape d'injection 30 reçoit la requête d'injection de carburant SE dans le premier plan. La commande de la soupape d'injection 30 détermine l'ordre de commande IE transmis aux soupapes d'injection du moteur thermique 40 pour commander ainsi l'ouverture ou la fermeture des injecteurs des soupapes d'injection. Dans le second plan (plan 2) à partir du degré d'actionnement FW on détermine une vitesse de rotation de consigne n_soll qui est transmise du second plan au premier plan. Un régulateur de vitesse de rotation du plan 1 cherche à commander le moteur thermique 10 pour que la vitesse de rotation réelle (n) du moteur thermique 10 corresponde à la vitesse de rotation de consigne n_soll. Le second plan peut en outre intervenir par l'ordre k directement sur la commande de la sou- pape d'injection 30 du premier plan et éviter par l'ordre k que la commande de la soupape d'injection 30 transmette l'ordre de commande IE aux injecteurs du moteur thermique 40. Le troisième plan (plan 3) comprend la surveillance des cir- cuits et à côté de la surveillance des défauts de circuit tels que le bascu- leur de bit, le chien de garde vérifie le fonctionnement de l'appareil de commande 1 de façon connue par une communication permanente question-réponse entre le microprocesseur et un composant de surveillance, distinct. Le troisième plan peut ainsi surveiller en sécurité le déroulement correct dans le second plan. En cas de défaut, par exemple en cas d'injections non autorisées, le second plan peut perturber intentionnellement la surveillance par le troisième plan pour solliciter ainsi la surveillance par le chien de garde et le composant de surveillance, distinct (notamment aux techniques de circuit) interdit d'autres injections et le cas échéant la communication avec d'autres appareils de commande. La surveillance de la vitesse de rotation de l'exemple de réalisation fait partie du second plan et cette surveillance reçoit également le degré d'actionnement RW. Comme cela paraît par exemple à la figure 2, la surveillance de vitesse de rotation avec le degré d'actionnement FW transmet le seuil de vitesse de rotation inférieur n max u et le seuil de vitesse de rotation supérieur n max o, par exemple par une courbe caractéristique respective. Il est également possible de rendre le seuil inférieur de vitesse de rotation n max u et/ou le seuil supérieur de vitesse de rotation n max o indépendant du degré d'actionnement FW. Dans cet exemple de réalisation, on choisit le seuil inférieur de vitesse de rotation n max u et le seuil supérieur de vitesse de rotation n max o en fonction du degré d'actionnement FW. Si le degré d'actionnement FW est égal à zéro, c'est-à-dire si la pédale d'accélérateur n'est pas actionnée, le seuil inférieur de vitesse de rotation n max u prend une valeur initiale nO u qui est de pré- férence supérieure à la vitesse de rotation de ralenti du moteur, par exemple égale à 1200T/min. A mesure que le degré d'actionnement FW augmente, le seuil inférieur de vitesse de rotation n max u augmente jusqu'à atteindre un degré d'actionnement limite FW1 qui correspond à la vitesse de rotation inférieure limite n1 _u par exemple égale à 3000T/min. Cette augmentation du seuil inférieur de vitesse de rotation n max u avec l'augmentation du degré d'actionnement FW peut être par exemple une augmentation linéaire. Si le degré d'actionnement FW prend une valeur au-dessus du degré d'actionnement limite FW1, le seuil inférieur de vi- tesse de rotation n max u reste égal au seuil inférieur limite n1 u à la vi- tesse de rotation inférieure limite n1 u. Le seuil inférieur de vitesse de rotation n max u est par exemple choisi pour être supérieur au seuil de vitesse de rotation de consigne n soll, par exemple la vitesse de rotation de consigne n_soll dépasse 1800 T/min et le seuil inférieur de vitesse de rotation n max u est égal à 2000 T/min. Le seuil supérieur de vitesse de rotation n max o peut être choisi de façon très analogue au seuil inférieur de vitesse de rotation n max u de sorte que le seuil supérieur de vitesse de rotation n max o sera au-dessus du seuil inférieur de vitesse de rotation n max u pour tous les degrés d'actionnement FW. Dans l'exemple de réalisation, le tracé, l'évaluation, l'évolution du seuil supérieur de vitesse de rotation n max u en fonction du degré d'actionnement FW ne sera pas fixé comme dans le cas du seuil inférieur de vitesse de rotation n max u par une valeur initiale inférieure nO u et une vitesse de rotation inférieure limite n1 u mais de façon analogue par une valeur supérieure initiale nO o et une valeur de vitesse de rotation limite supérieure n1 o. Comme le montre en outre la figure 1, la surveillance de vitesse de rotation, dans le second plan, reçoit du premier plan la requête SE d'injecter du carburant et l'ordre de commande IE. Ainsi il est possible à la surveillance de vitesse de rotation de surveiller l'injection du carburant dans le moteur thermique 10. Mais il est également possible que la surveillance de vitesse de rotation ne transmette pas l'ordre de commande IE, mais que la surveillance de vitesse de rotation effectue la lecture d'un compteur de la commande de soupape d'injection 30 qui surveille la fré- quence des ordres de commande IE demandant des injections dans le moteur thermique 10. La surveillance de la vitesse de rotation reçoit en outre la vitesse de rotation réelle (n) du moteur thermique 10 qui se détermine de façon connue. La figure 3 montre à titre d'exemple le déroulement du procédé dans la surveillance de vitesse de rotation. Le procédé commence par l'étape 1000 et se répète périodiquement par exemple, de façon synchrone cyclique avec les cycles du moteur thermique 10. Dans l'étape 1010 on vérifie si la vitesse de rotation réelle (n) est supérieure au seuil inférieur de vitesse de rotation n-max-u. Si cela n'est pas le cas, la surveillance de la vitesse de rotation se termine par l'étape 1500. Si l'interrogation montre que la vitesse de rotation n dépasse le seuil inférieur de vitesse de rotation n max u, le procédé passe à l'étape 1015 dans laquelle on décide de la suite de la commande du mo- teur thermique 10. En variante ou en plus, le procédé va vers l'étape 1210 dans laquelle on décide de la suite de la commande de la machine électrique 40. Dans l'étape 1015 on vérifie si la vitesse de rotation n dé- passe le seuil supérieur de vitesse de rotation n max o. Dans l'affirmative on passe à l'étape 1030. Dans la négative on passe à l'étape 1300. Dans l'étape 1030 on vérifie si dans le premier plan, les requêtes SE d'injection de carburant ont été transmises à la commande des soupapes d'injection 30. Si cela n'est pas le cas, on décide que le premier plan a lancé des mesures suffisantes pour réduire la vitesse de rotation réelle n et le procédé se termine par l'étape 1500. Si toutefois, on décide que malgré la vitesse de rotation réelle n, augmentée, des requêtes SE d'injection de carburant sont transmises à la commande des soupapes d'injection 30, on passe à l'étape 1040. Dans l'étape 1040, le second plan de la commande des soupapes d'injection 30 transmet l'ordre K qu'il ne doit pas y avoir de transmission d'un ordre de commande IE aux soupapes d'injection, c'est-à-dire qu'il ne doit pas y avoir injection de carburant même si la demande SE d'injecter du carburant existe. Ensuite, dans l'étape 1050 on détermine si les soupapes d'injection ont reçu un ordre de commande IE, c'est-à-dire si après trans- mission de l'ordre K effectivement aucun carburant n'a été injecté dans le moteur thermique 10. La traduction fonctionnelle de l'ordre K dépend entre autre de la temporisation, car, le cas échéant, il peut y avoir des injections qui ont été demandées préalablement. Pour cette raison il est pos- Bible avantageusement d'observer l'application de l'ordre K au moins sur une durée nécessaire au maximum à l'application fonctionnelle de l'injection avant de lancer d'autres mesures. Une conversion correcte de l'ordre K se fait si effectivement aucun carburant n'a été injecté, s'il y a eu une conversion correcte de l'ordre K, c'est-à-dire si aucun carburant n'a été injecté on passe à l'étape 1060 au cours de laquelle on vérifie si la vitesse de rotation n a effectué des oscillations critiques occasionnées par la coupure de l'injection. On décide par exemple que les oscillations critiques existent si la vitesse de rotation réelle n oscille autour du seuil supérieur de vitesse de rotation n max o et si la vitesse de rotation réelle dans les phases d'accélération de l'oscillation a accéléré trop rapidement, c'est-à-dire si la vitesse maximale du gradient de la vitesse de rotation réelle n dépasse le seuil prédéfini. On décide qu'il n'y a pas d'oscillation critique s'il est consta- té qu'il n'y a pas d'oscillation critique le procédé se termine par l'étape 1500. Si en revanche, on constate qu'il y a des oscillations critiques, on passe à l'étape 1070 au cours de laquelle on prend des contre-mesures. Par exemple, on commute sur le mode de fonctionnement d'air de secours, c'est-à-dire que l'on coupe l'alimentation électrique du volet d'étranglement de sorte qu'il n'y a qu'un intervalle résiduel permettant le passage d'une quantité d'air réduite de manière significative pour alimenter le moteur thermique. En variante ou en plus, on peut prévoir de réduire le seuil supérieur de vitesse de rotation n max o par exemple en ce que l'on remplace la courbe caractéristique du seuil supérieur de rotation n max o représentée à la figure 2 en fonction du degré d'actionnement FW par une courbe caractéristique de secours dans laquelle le seuil supérieur de vitesse de rotation n max o prend des valeurs plus faibles. Le procédé se termine par l'étape 1500. Dans l'étape 1050 on constate que l'injection du carburant n'a pas été neutralisée effectivement et on lance des contremesures pour interdire efficacement l'injection de carburant. Ensuite on passe à l'étape 1080 dans laquelle on effectue en option une remise à l'état initial du programme dans l'appareil de commande 1. On passe ensuite à l'étape 1090 dans laquelle à la fin de l'intervalle de temps prédéfini on vérifie si le défaut est toujours présent, c'est-à-dire si malgré la transmission de l'ordre K l'injection de carburant se poursuit dans le moteur thermique 10 par l'ordre de commande IE. Dans la négative on constate que les mesures prises agissent et le procédé se termine par l'étape 1500. Dans la négative on passe à l'étape 1100. Dans l'étape 1100, en option, en l'absence de défaut de la machine électrique 40 alors on effectue le programme de neutralisation de l'injection par le circuit, c'est-à-dire que l'on effectue une remise à l'état initial du mécanisme de la commande des soupapes d'injection par laquelle l'ordre K interdit l'ordre de commande IE. Les interfaces de communication de circuit de l'appareil de commande 1 restent inchangés, par exemple le bus CAN. On passe ensuite à l'étape 1110. Dans l'étape 1110, de façon analogue à l'étape 1090, on vérifie si à la fin du second intervalle de temps prédéfini, le défaut subsiste. Dans la négative, on passe à l'étape 1500 terminant le procédé. S'il y a toujours des injections on passe à l'étape 1120. Pour cela le chien de garde effectue une coupure dans le troisième plan. La commande des soupapes d'injection 30 est coupée de même que les interfaces de communication de circuit de l'appareil de commande 1, par exemple le bus CAN. Il en résulte que d'autres composants de l'entraînement ne reçoivent plus d'ordre de l'appareil de commande 1 et passent en mode de secours sécurisé. On passe à l'étape 1500 terminant le procédé. Dans l'étape 1300, le second plan transmet au premier plan une vitesse de rotation de consigne n_soll qui n'augmente que lentement, c'est-à-dire pour le gradient en fonction du temps de la vitesse de rotation de consigne n_soll est limitée à une valeur maximale, par exemple par un filtrage approprié. En l'absence de défaut, on transforme une demande de conducteur, plus élevée qui correspond au degré d'actionnement FW augmenté, pour appliquer cette demande de façon retardée. On passe ensuite io à l'étape 1310 dans laquelle on vérifie si le gradient, en fonction du temps de la vitesse de rotation réelle n dépasse le second seuil prédéfini. Si cela n'est pas le cas, on constate qu'il n'y a pas de défaut et le procédé se termine par l'étape 1500. Si le gradient, en fonction du temps de la vitesse de rotation réelle n dépasse en revanche le seuil prédéfini, on passe à l'étape 15 1320. Dans l'étape 1320 on lance une ou plusieurs mesures de réduction du couple généré par le moteur thermique 10, par exemple on lance le mode d'alimentation en air de secours. Ensuite, le procédé se termine par l'étape 1500. En réaction de la machine électrique, dans l'étape 1210 on 20 vérifie d'abord s'il y a une action de freinage, c'est-à-dire si (comme décrit ci-dessus dans un sens plus large) il y a une demande de freinage du conducteur. Dans l'affirmative, on passe à l'étape 1220. Pour cette étape 1220 on prend les mesures pour assister à la demande de freinage avec la machine électrique. La machine électrique 40 pourra, par exemple, être 25 commandée pour fonctionner que comme générateur. Mais, en variante ou en plus, il est possible de prédéfinir par le second plan un couple de freinage de consigne, électrique, pour la machine électrique 40 de façon que la machine électrique 40 cherche à régler ce couple. Ensuite le procédé se termine par l'étape 1500. 30 Si, en revanche, on décide qu'il n'y a pas de demande de freinage, on passe à l'étape 1230 dans laquelle on commande la machine électrique 40 pour qu'elle ne fonctionne que comme générateur, c'est-à-dire, notamment que la machine électrique 40 ne fonctionne pas comme moteur. 35 NOMENCLATURE DES ELEMENTS PRINCIPAUX 1 Appareil de commande Capteur de pédale d'accélérateur 5 10 Moteur thermique / moteur à combustion interne 30 Commande des soupapes d'injection 40 Machine électrique DK Degré d'ouverture du volet d'étranglement FW Degré d'actionnement IE Ordre de commande K Ordre N Vitesse de rotation réelle du moteur thermique n max u Seuil inférieur de vitesse de rotation n max o Seuil supérieur de vitesse de rotation n sol Vitesse de rotation de consigne du moteur thermique n1 o Vitesse de rotation supérieur limite n1 u Vitesse de rotation inférieure limite nO o Valeur initiale SE Requête / Demande d'injection de carburant ZW Angle d'allumage25 REVENDICATIONS1°) Procédé de gestion sécurisé d'un entraînement de véhicules automobiles comprenant une surveillance de régime selon laquelle, si la vitesse de rotation réelle n du moteur thermique (10) dépasse un seuil inférieur pré- défini de vitesse de rotation (n max u), exécute une mesure de réaction de défaut, - cette mesure de réaction de défaut étant choisie en fonction de l'existence d'autres conditions prédéfinies. 2°) Procédé selon la revendication 1, caractérisé en ce que les autres conditions prédéfinies comprennent par exemple le fait que la vitesse de rotation réelle (n) dépasse également un seuil supérieur prédéfini de vitesse de rotation (n max o). 3°) Procédé selon la revendication 2, selon lequel si la vitesse de rotation réelle (n) dépasse le seuil supérieur prédéfini de vitesse de rotation (n max o) on vérifie si une commande de soupape d'injection (30) d'un appareil de commande (1) a reçu une requête d'injection de carburant (SE) et alors si cette requête d'injection de carburant (SE) a été transmise, un ordre (K) est transmis à la commande de soupape d'injection (30) pour, malgré la requête (SE) de transmettre à l'injecteur aucun ordre de commande (IE) pour injecter du carburant mal- gré la requête (SE). 4°) Procédé selon la revendication 3, caractérisé en ce que si l'ordre (K) a pour conséquence que la commande de la soupape d'injection (30) ne transmet à la soupape d'injection aucun ordre de com- mande (IE) pour injecter du carburant et si la vitesse de rotation réelle (n) du moteur thermique (10) oscille autour du seuil supérieur prédéfini de vitesse de rotation (n max o) et/ou si une valeur maximale du gradient de la vitesse de rotation réelle (n) pendant une période de cette oscillation dé- passe un seuil prédéfini, on lance au moins une mesure parmi un en-semble de mesures de réduction du couple généré par le moteur thermique (10). 5°) Procédé selon la revendication 4, caractérisé en ce que l'ensemble des mesures comprend la mise en oeuvre d'un mode d'air de secours. 6°) Procédé selon la revendication 4 ou 5, caractérisé en ce que l'ensemble des mesures comprend l'abaissement du seuil supérieur prédéfini de vitesse de rotation (n max o). 7°) Procédé selon la revendication 4, caractérisé en ce que si malgré l'ordre (K) un ordre de commande (IE) pour injecter du carburant est transmis à la soupape d'injection, une remise à l'état initial du programme de commande de l'appareil de commande (1) est lancée. 8°) Procédé selon la revendication 4, caractérisé en ce que si à la fin d'un intervalle de temps prédéfini, malgré la transmission de l'ordre (K) le carburant continue d'être injecté et si il n'y a aucun défaut dans la machine électrique (40), de l'entraînement, on coupe le système d'injection du moteur thermique (10). 9°) Procédé selon la revendication 4, caractérisé en ce que si à la fin d'un second intervalle de temps prédéfini, malgré la transmis- sion de l'ordre (K) le carburant continue d'être injecté, on effectue une coupure du système d'injection du moteur thermique et d'une coupure des interfaces de communication de l'appareil de commande (1). 10°) Procédé selon la revendication 2, caractérisé en ce quesi la vitesse de rotation réelle (n) ne dépasse pas le seuil supérieur prédéfini de vitesse de rotation (n max o), on prédéfinit une vitesse de rotation de consigne (n soll) qui est une valeur de consigne prédéfinie pour la régulation de la vitesse de rotation réelle (n). 11°) Procédé selon la revendication 10, caractérisé en ce qu' on lance une autre mesure de réaction de défaut selon que le gradient en fonction du temps de la vitesse de rotation réelle (n) dépasse un second seuil de gradient. 12°) Procédé selon la revendication 11, caractérisé en ce que si le gradient en fonction du temps de la vitesse de rotation réelle (n) dépasse le second seuil de gradient, on prend au moins une mesure parmi un en- semble de mesures pour réduire le couple généré par le moteur thermique (10). 13°) Procédé selon la revendication 1, caractérisé en ce que les autres conditions prédéfinies comprennent le fait qu'une intervention du système de freinage existe, et une autre unité d'entraînement, notamment une machine électrique (40) est commandée en fonction de l'entraînement suivant qu'il y a eu intervention d'un système de freinage. 14°) Procédé selon la revendication 13, caractérisé en ce que si l'intervention du système de freinage existe, l'autre unité d'entraînement (40) ne fonctionne qu'en mode générateur. 15°) Procédé selon la revendication 14, caractérisé en ce qu'un couple de consignes de générateurs est attribué à l'autre unité d'entraînement (40).3516°) Procédé selon la revendication 13, caractérisé en ce que s'il n'y a pas intervention, l'autre unité d'entraînement (40) ne fonctionne que comme générateur. 17°) Programme d'ordinateur exécutant toutes les étapes du procédé selon l'une des revendications 1 à 16, et support de mémoire électronique sur lequel est enregistré le programme d'ordinateur ainsi qu'appareil de commande pour exécuter le programme du support de mémoire électronique.15