FR 3066626 A1 20181123 FR 1754496 A 20170522 1 DISPOSITIF ET PROCÉDÉ DE CONTRÔLE DES DÉMARRAGES DES MISES À JOUR TÉLÉCHARGÉES D'ÉQUIPEMENTS D'UN SYSTÈME L'invention concerne les systèmes qui comprennent au moins un équipement électronique pouvant être mis à jour par téléchargement par voie d'ondes. Comme le sait l'homme de l'art, de nombreux systèmes, comme par exemple des véhicules, éventuellement de type automobile, comprennent des équipements électroniques (généralement des calculateurs) dont le fonctionnement est défini par des modules logiciels (ou « software »), qui pour certains au moins d'entre eux peuvent faire l'objet de mises à jour téléchargées. On entend ici par « télécharger », le fait de transmettre par voie d'ondes (ou « Over The Air »), au module de communication d'un système, un ou plusieurs fichiers de données définissant une mise à jour d'au moins un équipement électronique d'un système. Une telle transmission peut se faire à l'initiative d'un serveur ou sur requête d'un calculateur du système. Lorsqu'une campagne de mise à jour de calculateurs est décidée, la mise à jour est transmise par voie d'ondes aux systèmes concernés et le démarrage de cette mise à jour reçu est déclenché dès que possible. Le démarrage de la mise à jour reçue est généralement effectué une fois que le système est endormi (ou inutilisé), ce qui nécessite de le réveiller et par conséquent induit une décharge de la batterie de servitude (très basse tension) qui alimente les équipements électroniques. Un tel fonctionnement peut poser plusieurs problèmes. En effet, si l'état de charge de la batterie de servitude est faible, l'installation d'une mise à jour peut la décharger en dessous d'un niveau permettant le démarrage du système, ce qui empêche alors l'utilisation de ce dernier et peut accélérer le vieillissement de cette batterie de servitude. De plus, lorsque le système comprend une batterie rechargeable qui peut être rechargée de façon programmée, le démarrage d'une mise à jour reçue peut entraîner une interruption d'une phase de recharge en cours ou 3066626 2 bien une annulation d'une phase de recharge programmée. Cela résulte notamment du fait que la mise à jour d'un équipement électronique peut ne pas être réalisable pendant une phase de recharge. Par ailleurs, lorsqu'un système est réveillé plusieurs fois pour des 5 installations successives de plusieurs mises à jour reçues dans un court laps de temps, cela provoque à chaque fois le réveil puis le fonctionnement de plusieurs équipements électroniques (et pas seulement celui devant être mis à jour), ce qui engendre une accélération du vieillissement de ces équipements électroniques. 10 Il a certes été proposé dans le document brevet WO 2012/002231 d'estimer les périodes pendant lesquelles un véhicule ne sera pas utilisé afin d'installer les mises à jours reçues pendant ces périodes. Mais une telle solution ne permet d'éviter que l'installation des mises à jour pendant les phases d'utilisation du véhicule, ce qui pourrait s'avérer potentiellement 15 dangereux, mais pas les réveils successifs et les interruptions ou annulations des phases de recharge. L'invention a donc notamment pour but d'améliorer la situation. Elle propose notamment un dispositif de contrôle destiné à équiper un système comprenant au moins une batterie principale rechargeable lors d'une 20 phase de recharge, une batterie de servitude rechargeable via cette batterie principale et alimentant au moins un équipement électronique propre à être mis à jour, et un module de communication propre à recevoir des mises à jour par voie d'ondes. Ce dispositif de contrôle se caractérise par le fait qu'il comprend des 25 moyens de contrôle qui déterminent, consécutivement à la réception d'une mise à jour pour un équipement électronique, un premier horaire pour démarrer cette mise à jour reçue en fonction d'une durée de cette mise à jour, d'un second horaire de démarrage d'une phase de recharge programmée, et d'un état de charge de la batterie de servitude, et qui contrôlent le démarrage 30 de cette mise à jour reçue au premier horaire déterminé. Grâce à ce contrôle des démarrages des mises à jour, on évite non seulement les interruptions ou annulations des phases de recharge, mais 3066626 3 également le vieillissement prématuré de composants électroniques impliqués dans les réveils et les mises à jour d'équipements électroniques. Le dispositif de contrôle selon l'invention peut comporter d'autres caractéristiques qui peuvent être prises séparément ou en combinaison, et 5 notamment : - ses moyens de contrôle peuvent déterminer un premier horaire égal ou postérieur au second horaire lorsque la mise à jour de l'équipement électronique est réalisable pendant une phase de recharge ; - ses moyens de contrôle peuvent déterminer, lorsque l'état de charge de la 10 batterie de servitude est supérieur à un premier seuil et que la mise à jour de l'équipement électronique n'est pas réalisable pendant la phase de recharge, un premier horaire égal à un résultat d'une soustraction du second horaire de la somme de la durée de la mise à jour et d'une durée de garde ; 15 - ses moyens de contrôle peuvent déterminer, lorsque l'état de charge de la batterie de servitude est inférieur à un premier seuil et que la mise à jour de l'équipement électronique n'est pas réalisable pendant la phase de recharge, un premier horaire égal ou postérieur à une somme du second horaire et d'une durée estimée de la phase de recharge. Dans une 20 première variante de réalisation, ses moyens de contrôle peuvent interdire temporairement le démarrage de la mise à jour jusqu'à la réception d'un ordre de mise à jour fourni par un usager du système. Dans une seconde variante de réalisation, ses moyens de contrôle peuvent déterminer un premier horaire égal à un résultat d'une soustraction d'un troisième horaire 25 de début d'une phase d'utilisation programmée du système de la somme de la durée de la mise à jour et d'une durée de garde ; - ses moyens de contrôle peuvent déterminer le premier horaire de sorte qu'une somme de ce dernier et de la durée de mise à jour soit inférieure à un quatrième horaire de démarrage d'une phase de fonctionnement 30 programmée d'un autre équipement électronique du système. L'invention propose également un système comprenant au moins une batterie principale rechargeable lors d'une phase de recharge, une batterie de servitude rechargeable via cette batterie principale et alimentant au moins un 3066626 4 équipement électronique propre à être mis à jour, un module de communication propre à recevoir des mises à jour par voie d'onde, et un dispositif de contrôle du type de celui présenté ci-avant. Par exemple, ce système peut constituer un véhicule, éventuellement 5 de type automobile. L'invention propose également un procédé de contrôle destiné à être mis en oeuvre dans un système comprenant au moins une batterie principale rechargeable lors d'une phase de recharge, une batterie de servitude rechargeable via cette batterie principale et alimentant au moins un 10 équipement électronique propre à être mis à jour, et un module de communication propre à recevoir des mises à jour par voie d'ondes. Ce procédé se caractérise par le fait qu'il comprend une étape dans laquelle, le système détermine, consécutivement à la réception d'une mise à jour pour l'équipement électronique, un premier horaire pour démarrer cette 15 mise à jour reçue en fonction d'une durée de cette mise à jour, d'un second horaire de démarrage d'une phase de recharge programmée, et d'un état de charge de la batterie de servitude, et démarre cette mise à jour reçue au premier horaire déterminé. D'autres caractéristiques et avantages de l'invention apparaîtront à 20 l'examen de la description détaillée ci-après, et du dessin annexé, sur lequel l'unique figure illustre schématiquement et fonctionnellement un véhicule comprenant une chaîne de transmission de type tout électrique et un calculateur de supervision équipé d'un dispositif de contrôle selon l'invention. L'invention a notamment pour but de proposer un dispositif de 25 contrôle DC destiné, d'une part, à équiper un système V comprenant au moins une batterie principale BP rechargeable, une batterie de servitude BS rechargeable via cette batterie principale BP et alimentant au moins un équipement électronique Ej, MCN pouvant être mis à jour par téléchargement, et, d'autre part, à contrôler les installations des mises à jour reçues. 30 Dans ce qui suit, on considère, à titre d'exemple non limitatif, que le système V est un véhicule de type automobile, comme par exemple une voiture. Mais l'invention n'est pas limitée à ce type de système. Elle concerne en effet tout type de système véhicule comprenant une batterie principale 3066626 5 rechargeable et une batterie de servitude alimentant des équipements électroniques pouvant être mis à jour par téléchargement. Par conséquent, l'invention concerne les véhicules (terrestres, maritimes (ou fluviaux), et aériens), les appareils électroniques (éventuellement grand public), et les 5 installations, éventuellement de type industriel, par exemple. On a schématiquement représenté sur l'unique figure un exemple de système (ici un véhicule) V comprenant une batterie principale BP rechargeable, une batterie de servitude BS, un réseau de bord (ou d'alimentation électrique) RB auquel sont connectés des équipements 10 électroniques Ej et un module de communication MCN, un chargeur CB et un dispositif de contrôle DC selon l'invention. Dans l'exemple illustré non limitativement, le système V est un véhicule et donc comprend une chaîne de transmission. Ici, la chaîne de transmission est de type tout électrique. Elle comprend donc, notamment, une 15 première machine motrice MM1, des premiers moyens de couplage MC1 et un premier arbre de transmission AT1 associé à un premier train T1, en complément de sa batterie principale BP et de son chargeur CB. Mais l'invention n'est pas limitée à ce type de chaîne de transmission. En effet, la chaîne de transmission pourrait être de type hybride en comportant en 20 complément une machine motrice thermique associée à son second train T2. On entend ici par « machine motrice » une machine (ou un moteur) agencé(e) de manière à fournir ou récupérer du couple pour déplacer un véhicule, soit seul(e) soit en complément d'au moins une éventuelle autre machine motrice électrique ou thermique (comme par exemple un moteur 25 thermique (réacteur, turboréacteur ou moteur chimique)). Le contrôle d'au moins la première machine motrice MM1 et des premiers moyens de couplage MC1 est assuré par un calculateur de supervision CS. La batterie principale BP est agencée pour stocker de l'énergie 30 électrique, par exemple en basse tension (typiquement 300 V). Elle peut notamment être rechangée via le chargeur CB lors de phases de recharge programmées ou non. Le chargeur CB est destiné à être raccordé à une source 3066626 6 d'alimentation en courant externe, comme par exemple une borne de recharge ou une prise de courant du secteur, via un cordon de charge dédié. Les premiers moyens de couplage MC1 sont chargés de coupler/ découpler la première machine motrice MM1 au/du premier arbre de 5 transmission AT1, sur ordre du calculateur de supervision CS, afin de communiquer du couple qu'elle produit et qui est défini par une consigne (de couple ou de régime), grâce à l'énergie électrique stockée dans la batterie principale BP, au premier arbre de transmission AT1. Ce dernier (AT1) est couplé au premier train T1 (ici de roues). la Par exemple, le premier train T1 est situé à l'arrière du véhicule V, et de préférence, et comme illustré, couplé au premier arbre de transmission AT1 via un différentiel (ici arrière) DR. Mais dans une variante ce premier train T1 pourrait être situé à l'avant du véhicule V. La batterie de servitude BS est de type très basse tension (par 15 exemple 12 V, 24 V ou 48 V). Elle alimente un réseau de bord RB auquel sont connectés des équipements électroniques Ej, MCN du véhicule V. Cette batterie de servitude BS est de préférence couplée à la batterie principale BP via un convertisseur CV de type DC/DC, afin de pouvoir être rechargée notamment pendant une phase de recharge via le chargeur CB. 20 L'un des équipements électroniques MCN est un module de communication par voie d'ondes pouvant notamment recevoir d'un réseau de communication non filaire des fichiers de données définissant des mises à jour d'au moins un équipement électronique Ej, MCN du véhicule V. Les équipements électroniques Ej (pouvant être mis à jour) sont, par exemple, des 25 calculateurs ou des interfaces homme/machine ou des capteurs ou encore des actionneurs. On notera que l'un au moins de ces calculateurs peut être impliqué dans les installations des mises à jours. Dans l'exemple illustré non limitativement sur l'unique figure, trois équipements électroniques El à E3 (j = 1 à 3) sont connectés au réseau de bord RB. Mais le nombre d'équipements 30 électroniques Ej connectés au réseau de bord RB peut prendre n'importe quelle valeur supérieure ou égale à un (1). Le dispositif de contrôle DC, selon l'invention, comprend des moyens de contrôle MCT qui sont chargés d'intervenir chaque fois que le module de 3066626 7 communication MCN a reçu une mise à jour à installer dans l'un au moins des équipements électroniques Ej. Dans l'exemple non limitatif illustré sur l'unique figure, le dispositif de contrôle DC fait partie du calculateur de supervision CS. Mais cela n'est pas 5 obligatoire. Ce dispositif de contrôle DC pourrait en effet être un équipement couplé au calculateur de supervision CS, directement ou indirectement. Par conséquent, le dispositif de contrôle DC peut être réalisé sous la forme de modules logiciels (ou informatiques ou encore « software »), ou bien d'une combinaison de circuits électroniques (ou « hardware ») et de modules 1 o logiciels. Lorsqu'une mise à jour a été reçue pour un équipement électronique Ej (par exemple le premier El ), les moyens de contrôle MCT commencent par déterminer, éventuellement à la demande d'une interface homme/machine, un premier horaire hl pour démarrer cette mise à jour reçue en fonction d'une 15 durée dl de cette mise à jour, d'un second horaire h2 de démarrage d'une phase de recharge programmée (de la batterie de servitude BS), et d'un état de charge (en cours) ec de la batterie de servitude BS. Puis, les moyens de contrôle MCT contrôlent le démarrage de cette mise à jour reçue au premier horaire hl qu'ils ont déterminé. 20 Le second horaire h2 a par exemple été programmé par un usager du véhicule V via une interface homme/machine, ou bien par un calculateur embarqué (comme par exemple le calculateur de supervision CS) en fonction des horaires habituels d'utilisation du véhicule V (connus par apprentissage ou enregistrés par l'usager). 25 Le second horaire h2 et l'état de charge ec sont facilement accessibles dans le véhicule V, par exemple via l'un des calculateurs et/ou via un réseau de communication embarqué, par lequel les équipements électroniques Ej et MCN échangent des données et éventuellement de type multiplexé. 30 Ce contrôle des démarrages des mises à jour dans le véhicule V permet avantageusement d'éviter les interruptions ou annulations des phases de recharge, le vieillissement prématuré de la batterie de servitude BS, et le vieillissement prématuré des composants électroniques qui sont impliqués 3066626 8 dans les réveils et les mises à jour des équipements électroniques Ej. Plusieurs implémentations de la détermination du premier horaire hl peuvent être envisagées. Par exemple, les moyens de contrôle MCT peuvent déterminer un 5 premier horaire hl qui est égal ou postérieur au second horaire h2 lorsque la mise à jour de l'équipement électronique Ej concerné (par exemple E1) est réalisable pendant une phase de recharge programmée. Egalement par exemple, les moyens de contrôle MCT peuvent déterminer un premier horaire hl qui est égal au résultat de la soustraction du 10 second horaire h2 de la somme de la durée dl de la mise à jour et d'une durée de garde (ou de temporisation) dg, lorsque l'état de charge ec de la batterie de servitude BS est supérieur à un premier seuil sl et que la mise à jour de l'équipement électronique Ej concerné n'est pas réalisable pendant la phase de recharge programmée. Dans cette implémentation on a donc la 15 relation hl h2 - (dl + dg) quand ec > s1, ce qui signifie que l'on considère que l'on peut installer la mise à jour avant de réaliser la phase de recharge du fait que la batterie de servitude BS est suffisamment chargée pour supporter la mise à jour sans que cela ne la décharge trop (ce qui accélérerait son vieillissement et pourrait éventuellement empêcher le prochain démarrage du 20 véhicule V). Par exemple, la durée de garde dg peut être comprise entre 0 seconde et 30 minutes. Egalement par exemple, les moyens de contrôle MCT peuvent déterminer un premier horaire hl qui est égal ou postérieur à la somme du second horaire h2 et d'une durée minimale de recharge dmin fonction d'une 25 durée estimée de la phase de recharge, lorsque l'état de charge ec de la batterie de servitude BS est inférieur au premier seuil sl et que la mise à jour de l'équipement électronique Ej concerné n'est pas réalisable pendant la phase de recharge. Cette durée minimale de recharge dmin peut, par exemple, correspondre à la durée qui est nécessaire pour que l'état de charge de la 30 batterie principale BP atteigne un second seuil s2 et qui dépend de la durée estimée de la phase de recharge. Par exemple, cette durée minimale de recharge dmin peut correspondre à un second seuil s2 égal à un pourcentage prédéfini de la charge maximale (100%) de la batterie principale BP (ce 3066626 9 pourcentage prédéfini dépend notamment de la technologie de la batterie de servitude BS et de la définition que l'on donne à la charge maximale). Dans cette implémentation on a donc la relation hl h2 + drain quand ec REVENDICATIONS1. Dispositif de contrôle (DC) pour un système (V) comprenant au moins une batterie principale (BP) rechargeable lors d'une phase de recharge, une batterie de servitude (BS) rechargeable via ladite batterie principale (BP) et alimentant au moins un équipement électronique (Ej) propre à être mis à jour, et un module de communication (MCN) propre à recevoir des mises à jour par voie d'ondes, caractérisé en ce qu'il comprend des moyens de contrôle (MCT) déterminant, consécutivement à la réception d'une mise à jour pour ledit équipement électronique (Ej), un premier horaire pour démarrer cette mise à jour reçue en fonction d'une durée de cette mise à jour, d'un second horaire de démarrage d'une phase de recharge programmée, et d'un état de charge de ladite batterie de servitude (BS), et contrôlant ledit démarrage de cette mise à jour reçue audit premier horaire déterminé. 2. Dispositif selon la revendication 1, caractérisé en ce que lesdits moyens de contrôle (MCT) déterminent un premier horaire égal ou postérieur audit second horaire lorsque ladite mise à jour de l'équipement électronique (Ej) est réalisable pendant une phase de recharge. 3. Dispositif selon la revendication 1 ou 2, caractérisé en ce que lesdits moyens de contrôle (MCT) déterminent, lorsque ledit état de charge de la batterie de servitude (BS) est supérieur à un premier seuil et que ladite mise à jour de l'équipement électronique (Ej) n'est pas réalisable pendant ladite phase de recharge, un premier horaire égal à un résultat d'une soustraction dudit second horaire de la somme de ladite durée de la mise à jour et d'une durée de garde. 4. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que lesdits moyens de contrôle (MCT) déterminent, lorsque ledit état de charge de la batterie de servitude (BS) est inférieur à un premier seuil et que ladite mise à jour de l'équipement électronique (Ej) n'est pas réalisable pendant ladite phase de recharge, un premier horaire égal ou postérieur à une somme dudit second horaire et d'une durée minimale de recharge fonction d'une durée estimée de ladite phase de recharge. 3066626 12 5. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que lesdits moyens de contrôle (MCT) interdisent temporairement le démarrage de ladite mise à jour jusqu'à la réception d'un ordre de mise à jour fourni par un usager dudit système (V), lorsque ledit état de charge de la batterie de 5 servitude (BS) est inférieur à un premier seuil et que ladite mise à jour de l'équipement électronique (Ej) n'est pas réalisable pendant ladite phase de recharge. 6. Dispositif selon l'une des revendications 1 à 3, caractérisé en ce que lesdits moyens de contrôle (MCT) déterminent un premier horaire égal à un 10 résultat d'une soustraction d'un troisième horaire de début d'une phase d'utilisation programmée dudit système (V) de la somme de ladite durée de la mise à jour et d'une durée de garde, lorsque ledit état de charge de la batterie de servitude (BS) est inférieur à un premier seuil et que ladite mise à jour de l'équipement électronique (Ej) n'est pas réalisable pendant ladite phase de 15 recharge. 7. Dispositif selon l'une des revendications 1 à 6, caractérisé en ce que lesdits moyens de contrôle (MCT) déterminent ledit premier horaire de sorte qu'une somme de ce dernier et de ladite durée de mise à jour soit inférieure à un quatrième horaire de démarrage d'une phase de fonctionnement 20 programmée d'un autre équipement électronique (Ej') dudit système (V). 8. Système (V) comprenant au moins une batterie principale (BP) rechargeable lors d'une phase de recharge, une batterie de servitude (BS) rechargeable via ladite batterie principale (BP) et alimentant au moins un équipement électronique (Ej) propre à être mis à jour, et un module de 25 communication (MCN) propre à recevoir des mises à jour par voie d'ondes, caractérisé en ce qu'il comprend en outre un dispositif de contrôle (DC) selon l'une des revendications précédentes. 9. Système (V) selon la revendication 8, caractérisé en ce qu'il constitue un véhicule. 30 10. Procédé de contrôle pour un système (V) comprenant au moins une batterie principale (BP) rechargeable lors d'une phase de recharge, une batterie de servitude (BS) rechargeable via ladite batterie principale (BP) et alimentant au moins un équipement électronique (Ej) propre à être mis à jour, 3066626 13 et un module de communication (MCN) propre à recevoir des mises à jour par voie d'ondes, caractérisé en ce qu'il comprend une étape dans laquelle ledit système (V) détermine, consécutivement à la réception d'une mise à jour pour ledit équipement électronique (Ej), un premier horaire pour démarrer cette 5 mise à jour reçue en fonction d'une durée de cette mise à jour, d'un second horaire de démarrage d'une phase de recharge programmée, et d'un état de charge de ladite batterie de servitude (BS), et démarre cette mise à jour reçue audit premier horaire déterminé.