FR 3054360 A1 20180126 FR 1756762 A 20170717 1 Procédé de fonctionnement d'un appareil de commande critique pour la sécurité pour un véhicule automobile ainsi que véhicule automobile correspondant L'invention concerne un procédé de fonctionnement d'un appareil de commande critique pour la sécurité pour un véhicule automobile ainsi qu'un véhicule automobile correspondant. Ainsi, grâce à EP 1062132 B1 ou EP 167792 A1, on connaît des procédés destinés à commander le déclenchement d'un système de protection des occupants dans lequel par exemple le capteur d'accident effectue à intervalles réguliers ou irréguliers un contrôle d'erreurs interne et, en cas de détection d'erreurs, délivre un signal d'état au dispositif de commande par le biais de la connexion de sortie de signaux d'état. Ensuite, le déclenchement est par exemple bloqué et/ou un avertissement optique et/ou acoustique est produit. La liaison et l'échange de données peuvent en l'occurrence s'effectuer également par le biais d'un bus de véhicule, par exemple CAN ou Flexray. DE 10249440 Al décrit des procédés de surveillance de la capacité de fonctionnement d'un système capteur de poids dans un véhicule avec lequel, lors du dépassement d'une valeur de seuil pour la force agissant sur le capteur de force, le système capteur de poids délivre un message d'avertissement qui indique un éventuel endommagement du système capteur de poids. Le message d'avertissement peut en l'occurrence également être affiché dans un combiné d'instruments du véhicule sous forme visuelle, en particulier en tant que texte et/ou sous la forme d'un témoin lumineux. Il est en outre proposé que le message d'avertissement soit placé sur un bus CAN (car area network) et/ou enregistré dans une mémoire d'erreurs. Grâce à DE 102009014624 A1, on connaît en outre un procédé d'affichage d'anomalies dans le véhicule automobile aves des appareils de commande aptes à l'autodiagnostic qui délivrent au conducteur un avertissement en cas d'anomalie. Simultanément, avec la production de l'avertissement, en fonction de la gravité de l'erreur, une mesure recommandée est affichée, dont la prise de connaissance doit être acquittée par le conducteur. De préférence, cet affichage n'est effacé qu'après que le conducteur a acquitté la prise de connaissance. Sinon ou en plus, selon un développement de l'invention, un mode sécurité est activé si l'acquittement de la prise de connaissance n'intervient pas à l'intérieur d'une fenêtre de temps prédéfinie. Cependant, on ne peut pas exclure la possibilité que le conducteur ne remarque pas cet avertissement ou l'ignore ou l'oublie et que le véhicule demeure pendant une assez longue période dans cet état sans système de protection des occupants prêt à fonctionner ou sans autre appareil de commande critique pour la sécurité. En outre, par exemple grâce à DE 29 12 547 C2 et DE 196 50 176 A1, on connaît des systèmes automatiques d'appel d'urgence pour véhicules au moyen desquels, en cas 3054360 2 d'accident, des équipes de secours sont informées automatiquement et dirigées avec précision vers le lieu de l'accident afin d'assurer qu'une assistance rapide puisse être garantie de façon certaine. L'objectif de la présente invention est d'augmenter davantage la sécurité. 5 A cet effet, l'invention a pour objet un procédé de fonctionnement d'un appareil de commande critique pour la sécurité pour un véhicule, l'appareil de commande surveillant le mode de fonctionnement correct de l'appareil de commande, d'au moins un capteur ou d'au moins un actionneur ou de plusieurs de ceux-ci et, en présence de conditions d'erreurs prédéfinies, fournissant un avertissement au conducteur du véhicule, une 10 information d'avertissement correspondante intervenant à l'intention du conducteur au moins en présence d'un sous-groupe de conditions d'erreurs, caractérisé en ce que, ensuite, une transmission de données correspondante est effectuée à l'intention d'un constructeur automobile et/ou d'un fournisseur de services si aucune suppression de l'erreur n'est détectée à l'intérieur d'un laps de temps prédéfini. 15 Suivant d'autres aspects avantageux de l'invention, le procédé comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toute combinaison techniquement possible : - le laps de temps prédéfini pour la suppression ou respectivement jusqu'à la transmission de données est réglé à partir d'une première valeur de temps vers une 20 valeur de temps plus longue si le conducteur confirme l'information d'avertissement par l'actionnement d'un moyen de manoeuvre prédéfini. - avec la première transmission de données, une nouvelle fenêtre de temps est lancée, et la transmission de données est répétée de façon cyclique dans la mesure où aucune suppression de l'erreur n'a été détectée avant l'expiration de la fenêtre de temps. 25 - la transmission de données comprend au moins une des données suivantes : - données identifiant le véhicule, - le type de condition d'erreurs, - l'instant de l'apparition de la condition d'erreurs, - si ou respectivement quand une confirmation de l'information 30 d'avertissement a été effectuée par le biais de l'actionnement du moyen de manoeuvre. L'invention a également pour objet un véhicule automobile avec un appareil de commande ainsi qu'avec un moyen destiné à la reproduction de l'information d'avertissement ainsi qu'avec des moyens de transmission de données pour la réalisation 35 du procédé tel que décrit précédemment. Il est par conséquent prévu qu'une transmission de données correspondante soit effectuée à destination d'un constructeur automobile et/ou d'un fournisseur de services si, à l'intérieur d'un laps de temps prédéfini, une suppression de l'erreur n'est pas réalisée. 3054360 3 Outre la suppression, une entrée d'erreur correspondante, par exemple par un technicien d'intervention, peut éventuellement être confirmée comme réparée ou respectivement être effacée de nouveau. Le document DE 10 2015 219 402 non publié de la demandeuse décrit déjà un 5 procédé de fonctionnement d'un système de protection des occupants, le système de protection des occupants présentant au moins un appareil de commande, d'au moins un capteur et d'au moins un moyen de protection des occupants, et un appareil de commande surveille le mode de fonctionnement correct de l'appareil de commande, au moins d'un capteur ou au moins d'un actionneur ou de plusieurs de ceux-ci et, en 10 présence de conditions d'erreurs prédéfinies, produit un avertissement à l'intention du conducteur. Au moins en présence d'un sous-groupe de conditions d'erreurs, une information d'avertissement correspondante est communiquée au conducteur à titre d'avertissement et le conducteur doit la confirmer en actionnant au moins un moyen de manoeuvre prédéfini. Si l'information d'avertissement n'est pas confirmée à l'intérieur d'un 15 laps de temps prédéfini par l'actionnement du moyen de manoeuvre prédéfini, une transmission de données correspondante est effectuée à l'intention d'un constructeur automobile et/ou d'un fournisseur de services. Mais en l'occurrence aucun contrôle n'est n'effectué en vue de savoir si ou respectivement quand l'erreur a été supprimée. Cependant, si on voulait y voir une préfiguration partielle, la demandeuse exclut 20 explicitement celle-ci de l'étendue de la protection ainsi revendiquée, cela signifie que précisément aucun procédé selon la revendication 1 du document DE 10 2015 219 402 ne doit être revendiqué. Le laps de temps prédéfini jusqu'à la suppression ou respectivement jusqu'à la transmission de données est de préférence réglé à partir d'une première valeur de temps 25 vers une valeur de temps plus longue si le conducteur confirme l'information d'avertissement par l'actionnement du moyen de manoeuvre prédéfini, le deuxième laps de temps plus long n'étant pas non plus infini. Ainsi, dans un exemple de réalisation prévu sans confirmation, la transmission de données intervient dans une période de temps relativement courte de quelques minutes à quelques jours au maximum, alors que au 30 contraire après une confirmation il reste de quelques jours à quelques semaines jusqu'à la réparation, mais une transmission de données intervient en tout cas après l'expiration également de ce deuxième laps de temps. La transmission de données s'effectue en l'occurrence de préférence via le téléphone mobile, via une liaison de données radio mobile existante ou par SMS et 35 contient en l'occurrence de préférence des données identifiant le véhicule, le type de condition d'erreur ainsi que l'instant de l'apparition de la condition d'erreurs ou de l'expiration du laps de temps sans actionnement effectué du moyen de manoeuvre. Par la transmission de données, le constructeur automobile ou respectivement le fournisseur de 3054360 4 services peut, par le biais d'autres canaux, qu'il s'agisse du téléphone, de la messagerie électronique ou similaire, prendre contact avec le conducteur et éviter la poursuite de la conduite sans appareil de commande intact critique pour la sécurité. La première transmission de données lance de préférence une nouvelle fenêtre de 5 temps, et la transmission de données est répétée de façon cyclique dans la mesure où aucune suppression de l'erreur n'a été détectée avant l'expiration de la fenêtre de temps. Il importe peu en l'occurrence que le procédé soit réalisé dans l'appareil de commande critique pour la sécurité ou dans un autre appareil de commande et que seulement un capteur, un moyen de protection des occupants ou le mode de 10 fonctionnement correct de l'appareil de commande lui-même soit surveillé. En outre, le message d'avertissement devant être confirmé par un actionnement d'au moins un moyen de manoeuvre prédéfini peut intervenir également en présence de seulement un sous-groupe de conditions d'erreurs, donc pas nécessairement en présence de tous les événements d'erreurs. 15 L'information d'avertissement destinée au conducteur peut s'effectuer visuellement ou acoustiquement, elle peut s'effectuer en tant que pictogrammes ou en différentes langues et contient de préférence, outre l'indication de la panne du système de protection des occupants, l'indication d'une visite d'atelier immédiate, la nécessité de la confirmation et les conséquences en cas de non-confirmation. 20 Comme confirmation, on choisit en l'occurrence de préférence un moyen de manoeuvre, son type de manoeuvre ou également une pluralité de moyens de manoeuvre ou leur séquence de telle sorte qu'une « confirmation » par inadvertance, donc une manoeuvre sans intention de confirmation, peut être exclue le plus largement possible par l'action dans le mode de conduite normal. 25 De préférence, la confirmation par le conducteur par l'actionnement du moyen de manoeuvre prédéfini est consignée dans une mémoire, par exemple l'instant de la confirmation est enregistré dans la mémoire, c'est-à-dire non pas seulement l'apparition de l'erreur et de l'avertissement, mais également, précisément de façon séparée, la confirmation effective par le conducteur est enregistrée. 30 Si l'information d'avertissement n'est pas confirmée à l'intérieur d'un laps de temps prédéfini par l'actionnement du moyen de manoeuvre prédéfini, une restriction apparaît de préférence sur le véhicule en plus de la transmission de données. Cela dépend naturellement de manière déterminante de l'escalade souhaitée et doit être déterminé de façon individualisée pour le véhicule. 35 On envisage en particulier une ou plusieurs des caractéristiques suivantes : a) l'information d'avertissement demeure affichée de façon durable b) des fonctions de confort telles que la radio ne sont pas possibles, ou bien un téléphone uniquement pour des appels d'urgence 3054360 5 c) une restriction de vitesse est activée d) un redémarrage du véhicule après un arrêt est empêché. En conséquence, un appareil de commande critique pour la sécurité, qu'il s'agisse de l'appareil de commande de l'affichage, de l'appareil de commande du GPS ou du 5 système de protection des occupants, est équipé d'un algorithme correspondant destiné à la réalisation du procédé ainsi que d'une interface de données vers un moyen destiné à la reproduction de l'information d'avertissement ainsi qu'à la réception d'un signal du moyen de manoeuvre prédéfini ou respectivement à l'interrogation du moyen de manoeuvre et présentent une interface vers des moyens de transmission de données. 10 Ainsi, dans un véhicule automobile, un appareil de commande équipé en conséquence ainsi qu'un moyen destiné à la reproduction de l'information d'avertissement ainsi qu'à la transmission de données sont prévus, ou un moyen existant est aménagé en conséquence pour la réalisation du procédé. REVENDICATIONS1) Procédé de fonctionnement d'un appareil de commande critique pour la sécurité pour un véhicule, l'appareil de commande surveillant le mode de fonctionnement correct de l'appareil de commande, d'au moins un capteur ou d'au moins un actionneur ou de plusieurs de ceux-ci et, en présence de conditions d'erreurs prédéfinies, fournissant un avertissement au conducteur du véhicule, une information d'avertissement correspondante intervenant à l'intention du conducteur au moins en présence d'un sous-groupe de conditions d'erreurs, caractérisé en ce que, ensuite, une transmission de données correspondante est effectuée à l'intention d'un constructeur automobile et/ou d'un fournisseur de services si aucune suppression de l'erreur n'est détectée à l'intérieur d'un laps de temps prédéfini. 2) Procédé selon la revendication 1, caractérisé en ce que le laps de temps prédéfini pour la suppression ou respectivement jusqu'à la transmission de données est réglé à partir d'une première valeur de temps vers une valeur de temps plus longue si le conducteur confirme l'information d'avertissement par l'actionnement d'un moyen de manoeuvre prédéfini. 3) Procédé selon la revendication 1 ou 2, caractérisé en ce que, avec la première transmission de données, une nouvelle fenêtre de temps est lancée, et la transmission de données est répétée de façon cyclique dans la mesure où aucune suppression de l'erreur n'a été détectée avant l'expiration de la fenêtre de temps. 4) Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que la transmission de données comprend au moins une des données suivantes : - données identifiant le véhicule, - le type de condition d'erreurs, - l'instant de l'apparition de la condition d'erreurs, - si ou respectivement quand une confirmation de l'information d'avertissement a été effectuée par le biais de l'actionnement du moyen de manoeuvre. 5) Véhicule automobile avec un appareil de commande ainsi qu'avec un moyen destiné à la reproduction de l'information d'avertissement ainsi qu'avec des moyens de transmission de données pour la réalisation du procédé selon l'une quelconque des revendications précédentes.