FR 2437651 A1 19800425 FR 7924336 A 19790928 L'invention part d'une installation de surveillance pour des dispositifs commandés sur programmes, notamment pour des systèmes commandés par des microprocesseurs dans des véhicules automobiles, dispositifs#auprès desquelsvpendant le-déroulement de chaque programme, au moins une impulsion de eontrôle est susceptible d'être prélevée. Il est connu dans le cas de dispositifs commandés sur programmes, de prévoir des installations de surveillance qui veillent au déroulement correct du programme. Il est par exemple connu à cet effet, de faire se dérouler ce que l'on appelle des programmesetests, au cours desquels toutes les fonctions du dispositif commandé sur programme sont simulées. Selon le type des signaux d'erreurs intervenant alors, il est possible de localiser cette erreur dans le programme. Son mode de sur- veillance présente toutefois l'inconvénient que le dispositif commandé sur programme est sollicité à plein temps pour la durée de la surveillance, ce quiynotamment dans le cas de dispositifs pour lesquels un traitement ininterrompu des données est important, peut amener des difficultés. Il est connu en outre de surveiller des dispositifs commandés sur programmes, de sorte que pour chaque déroulement de programme, une impulsion de contrôle soit émise afin d'indiquer un déroulement complet du programme. Nais Si l'on utilise un tel signal de contrôle pour la surveillance courante du dispositif, ceci, si l'on ne met pas en oeuvre d'autres moyens, peut aboutir à ce que le dispositif soit mis hors service même pour des perturbations de courtes durées0 Cela a cependant un inconvénient, notamment pour des dispositifs commandés sur programmes, qui fonctionnent dans un environnement fortement contaminé par des parasites, par exemple dans le cas de systèmes commandés à partir de microprocesseurs dans des véhicules automobiles.Pour ces systèmes, il y a lieu de prévoir pour des raisons de sécurité, des installations de surveillance qui comportent une identification des erreurs, qui en cas de défaillance ou de perturbation de la commande du véhicule, amènent celui-ci dans un état de fonctionnement sur en déclenchant des sécurités, et qui, éventuellement, pour les fonctions du système qui ne sont pas critiques au point de vue sé curité, démarrent une fonction de secours permettant de continuer à rouler jusqu'à l'atelier de réparation le plus proche. Comme cet incident entrain des frais importants pour l'utilisateur du véhicule, il est nécessaire de limiter la réaction de telles installations de surveillance au cas où l'appareil de commande n'est plus susceptible de fonctionner.La défaillance d'une des impulsions de contrôle précédemment mentionnées, ne constitue pas un critère sûr à ce sujet, car du fait du niveau élevé de parasitage intervenant de façon disproportionnée dans les véhicules automobiles, des perturbations transitoires du fonctionnement ne provenant pas du système et entraînant des défaillances des impulsions de contrôle, peuvent se produire, dont l'origine ne réside toutefois pas dans une incapacité de fonctionnement de l'appareillage de commande. Pour résoudre ce problème, l'invention prévoit une installation caractérisée en ce qu'en cas d'absence d'une impulsion de contrôle, un nouveau déroulement de programme est déclenché (redémarrage, interruption, D'installation de surveillance conforme à l'invention, présentant les caractéristiques ci-dessus, a l'avantage par rapport aux solutions connues, de faire la distinction entre les erreurs intervenant dans le déroulement du programme suivant qu'elles sont provoquées par des perturbations transitoires ou bien par des défaillances du système, et d'établir ainsi un critère sûr, par exemple pour actionner une installation de commutation de secours.Un déroulement de programme interrompu ou entaché d'erreurs par un défaut transitoire, est à nouveau correctement remis en marche par rappel sur le début du programme. L'invention va être expliquée plus en détail en se référant à trois exemples de réalisation représentés sur les dessins ci-joints, dans lesquels - la figure 1 représente un branchement pour un premier exemple de réalisation d'une installation de surveillance avec déclenchement de redémarrage, - la figure 2 est un branchement pour un second exemple de réalisation d'une installation de surveillance avec déclenchement de redémarrage, - la figure 3 est un branchement pour un troisième exemple de réalisation d'une installation de surveillance- avec déclenchement d'interruption. Sur la figure 1 est représenté un dispositif 10 commandé sur programme, par exemple un système commandé à partir de microprocesseurs, dans un véhicule automobile. Le dispositif 10 commandé sur programme comporte un étage basculant monostable susceptible d'être positionné à chaque instant (monobascule susceptible d'être redéclenchée) 101. Un tel étage basculant monostable a la propriété de persister dans son état de positionnement lorsque pendant le temps où dure cet état, d'autres impulsions de positionnement lui sont appliquées. L'étage basculant est alors positionné à nouveau par chaque impulsion de positionnement pour la totalité du temps de positionnement.Cela signifie que cet étage basculant ne revient à son état d'origine que seulement lorsque pendant une durée supérieure à la durée de positionnement, aucune nouvelle impulsion de positionnement n'est appliquée. La sortie inversante de l'étage basculant 101 est reliée avec l'entrée de positionnement d'un autre étage basculant monostable il ainsi qu'avec ltentrée de cadence d'une bascule n 13 servant de branchement de cotncidence 12. La sortie de la bascule JE 13 est raccordée à une entrée dune porte OU 14 dont la sortie peut commander une installation de commutation de secours 15 constituée dans l'exemple représenté par un commutateur 16 avec un contact de repos.L'entrée J de la basçule JE 13 est raccordée à la sortie de l'autre étage basculant monostable 11, qui est en même temps reliée à l'entrée inversante d'une porte ET 17. Une autre entrée inversante de la porte ET 17 est reliée avec la sortie de l'étage basculant 101. Cette sortie est en outre reliée par l'intermédiaire d'un organe RC 18, 19 à une entrée d'une porte NON - ET 20, dont la seconde entrée est reliée à la sortie inversante de l'étage basculant 101. La sortie de la porte NON ET 20 est reliée avec une entrée 102 du dispositif 10 commandé sur programme, entrée par l'intermédiaire de laquelle des ordres de commutation pour un nouveau déroulement du programme (redémarrage) sont susceptibles d'être appliqués au dispositif. il est en outre prévu un organe de temporisation constitué d'un organe RC 22, 23 qui est susceptible autre commuté par l'intermédiaire d'une borne 21 par la tension d'alimentation de l'installation de surveillance, et dont la sortie est reliée par l'intermédiaire d'un inverseur 24 avec une troisième entrée inversante de la porte ET 17 ainsi qu'à l'entrée de rappel de la bascule JE 13. Enfin, une troisième entrée de la porte OU 14 est reliée à une borne 25. Le mode de fonctionnement du branchement représenté sur la figure 1, est le suivant ~ Comme cela a déjà été exposé, l'étage basculant 101 du dispositif 10 commandé sur programme, revêt la forme d'une monobascule susceptible d'être redémarrée, c'est-à-dire que dans un fonctionnement correct du dispositif 10 commandé sur programme, au moins une impulsion de contré est appliquée à l'entrée de positionnement de cette bascule pour chaque déroulement de programme, la durée de positionnement de l'étage basculant 101 étant plus largement dimensionnée que l'intervalle de temps cyclique entre les impulsions de contrôle, si bien que l'étage basculant 101 , lorsqu'il n'y a pas de perturbations de fonctionnement, se maintient en permanence dans 1' état positionné.Un signal logique positif s'applique alors à la sortie Q, tandis qu'à la sortie inversante Q stapplique en permanence une logique 0. Si maintenant, du fait d'un quelconque parasite, une impulsion de contr8le fait défaut, l'étage basculant 101 revient à son état d'origine et une logique 1 est présente à la sortie inversante 4 De ce fait, l'entrée de cadence de la bascule JE 13 est commandée, et l'autre étage basculant Il est positionné. Du fait du retard avec lequel le signal logique 1 apparait à la sortie de l'autre étage basculant 11 la bascule JE 13 n'est toutefois pas encore positionnée.La durée de positionnement de l'autre étage basculant 11 est dimensionnée de façon beaucoup plus large que celle de l'étage de positionnement 101. De façon typique, l'intervalle de temps cyclique entre les impulsions de contrôle est par exemple de 8 ms, la durée de positionnement de l'étage basculant 101, de 12 ms, et la durée de positionnement de l'autre étage basculant Il de 50 ms. Lors du retour de l'étage basculant 101 à son état d'origine, une courte impulsion négative est obtenue par l'intermédiaire d'un organe fonctionnel constitué de l'organe RC 18, 19, ainsi que de la porte NON-ET 20, cette impulsion étant appliquée à l'entrée 102 du dispositif 10 commandé sur programme, et déterminant un nouveau démarrage du programme.Si ce nouveau déroulement du programme s'effectue sans défaut, l'étage basculant 101 est positionné à nouveau. Par contre, si une nouvelle impulsion de contrdle fait défaut pendant la durée de positionnement de par exemple 50 ms déterminée par l'autre étage basculant 11, il apparaît à la sortie inversante 4 de l'étage basculant 101, un flanc de commutation et la bascule JX 13 est alors commutée. Dans ce cas, l'installation de commutation de secours 15 est actionnée par l'intermédiaire de la porte OU 14. Par exemple un commutateur 16, comportant un contact de repos et placé sur l'alimentation en courant du dispositif 10 commandé sur programme, peut etre actionné. Il est cependant également possible qu'après un nouveau démarrage du programne,#il.ne se présente pas du toui d'autres impulsions de contrôle. Dans ce cas, la sortie Q de l'étage basculant 101 reste en permanence sur 0, et la sortie Q de l'autre étage basculant 11, après la durée de positionnement de celui-ci, passe également sur 0. Cela signifie, Si l'on laisse de coté la troisième entrée inversante, que la porte ET 17 eom- mute et déclenche également par l'intermédiaire de la porte OU 14 la fonction de commutation de secours. Si toutefois il s'agit lors de la première défaillance de l'impulsion de contrôle d'une perturbation transitoire, et si aucune autre défaillance n'intervient pendant la durée de positionnement de l'autre étage basculant il, les deux entrées de la bascule JK 13 sont sollicitées par la logique 0, si bien que cette bascule ne commute plus et qu'également les deux pre mières entrées de la porte ET 17 reçoivent respectivement un signal O et un signal 1, si bien que par l'intermédiaire de la porte ET 17S aucun signal de déclenchement ne parvient plus à l'installation de commutation de secours 15.L'installation de surveillance qui avait été positionnée par la défaillance de la prea mière impulsion de contrôle est en conséquence, dans ce cas de fonctionnement, désactivée après l'écoulement de la durée de positionnement de l'autre étage basculant monostable 11. Il est en outre possible de relier une borne 25 à une autre entrée de la porte OU 14 ou bien à l'entrée de prépositionnement de la bascule JE 13, pour commander l'installation de commutation de secours 15 en fonction d'autres critères. Pour éviter que l'installation de surveillance conforme à l'invention réagisse à chaque mise en service du dispositif 10 commandé sur programme9 la tension d'alimentation est appliquée à la borne 21 et engendre, par l'intermédiaire de l'organe temporisé constitué de l'organe Ra 22, 23 et de llin- verseur 24, un signal logique positif de courte durée.Ceci fait que, d'une part, la bascule JE 13 est commandée par l'intermédi aire de l'entrée de rappel R et-ne peut pas, en conséquence, être commutée, que, d'autre part, il est garanti par une trod~ sième entrée inversante de la porte ET 179 que celle#c1 également ne peut pas être commutée pendant la phase de m4 se en circuit. Après un temps déterminé par l'organe RC 22, 23, le signal à 11 entrée de l'inverseur 24 disparait et l'installation de sur veillance peut être déclenchée de la façon décrite ci~dessus. La figure 2 montre le schéma d'un branchement de redémarrage susceptible d'entre utilisé dans le cas d'une installation de surveillance conforme à l'invention. Une sortie, par laquelle passent les impulsions de contrôle, du disposit#f 10 commandé sur programme, est raccordée à un organe differencia- teur, constitué d'un condensateur 30 et d'une résistance 31, et qui est relié à la base d'un transistor 32. Le collecteur de ce transistor 32 est relié par l'intermédiaire d'une résistance 33 à un organe RC constitué d'un condensateur 34 et d'une résistance 35 branchée en série avec une résistance 36 entre la masse et une tension de référence#appliquée à une borne 37.Le branchement en série du condensateur 34 et de la résistance 35 est shunte d'une part par une diode de Zener 38 et d'autre part, par un condensateur 39. Le point de jonction du condensateur 34 et de la résistance 35 est relié par l'intermédiaire d'une diode 40 avec la base d'un transistor 41 branchée en série avec un autre transistor 42 entre la masse et l'entrée 102 déterminant un nouveau déroulement de programme (entrée de redémarrage) du dispositif 10 commandé sur programme. Le mode de fonctionnement du branchement représenté sur la figure 2 est le suivant o Les impulsions de contrdle du dispositif 10 commandé dé sur programme, qui apparaissent périodiquement en cas de fonc- tionnement correct, sont différenciées et appliquées à la base du transistor 32 qui est ainsi rendu périodiquement conducteur. et au condensateur 34, pouvant etre chargé par la tension de référence appliquée à la borne 37, qu'elles déchargent périodique- ment. En conséquence, dans le cas dlun fonctionnement correct du dispositif 10 commandé sur programme, la tension du condensatel= ne dépasse pas un niveau-déterminé. Pour protéger l'organe RC 34, 35 contre les pointes parasites de tension, il est prévu la ré- sistance 36 ainsi que la diode de Zener 38 et le condensateur 39. La tension aux bornes du condensateur 34 est transmise par #'-in termédiaire de la diode 40 à la base du transistor 41. Dans ie cas d'un fonctionnement correct du dispositif 10 commandé sur programme9 le transistor 41 est bloqué. Si toutefois une impuln sion de contrôle fait défaut, la tension se lève aux bornes du condensateur 34 dans la mesure où le transistor 41 est rendu conducteur. Pour un nouveau déroulement du programme, une courte impulsion négative à l'entrée de redémarrage 102 est necessaire. Elle est par exemple provoquée dans un dispositif 10 commandé sur programme dans un véhicule automobile en ce qu'à partir d'un générateur d'impulsions 439 constitué sous la forme d'un émetteur de repères de références, une impulsion de courte durée est transmise au transistor 42. Si le transistor 41 du fait de l'absence d'une impulsion de contr8le est rendu passant, et que le transistor 42 est également rendu passant pendant un temps court par le générateur d'impulsions 43, l'entrée de redémarrage 102 est reliée pendant un temps court à la masse.Ceci détermine un nouveau déroulement du programme dans le dispositif 10 commandé sur programme. le générateur d'impulsions 43 peut également, en varianteS revêtir la forme dgun multivibrateur astable, Si bien qu'après l'absence d'une impulsion de contrcle, le programme est toujours à nouveau remis à zéro par plusieurs impul- sions à l'entrée de redémarrage 102, jusqu'à ce qu'un déroulement de programme correct s'effectue. Dans le cas de l'exemple de réalisation représenté sur la figure 3, le point de jonction entre le condensateur 30 et la résistance 31 est raccordé par l'intermédiaire d'un inverseur 50 et par l'intermédiaire de la section cathode-anode d'une diode 51 branchée à cet effet en série, au point de jonction entre le condensateur 34 et la résistance 359 36. Ce point de jonc tion est raccordé par l'intermédiaire d'un autre inverseur 52 et d'une porte OU 53 branchée en série à cet effet, à la borne d'entrée d'interruption 103 du dispositif 10 commandé sur programme. Chaque calculateur et notamment chaque micro calculateur comporte une telle entrée d'interruption. Un émetteur de repères de références 54, tel que ceux utilisés pour la commande par exemple des processus d 'allu- mage et d'injection sur les véhicules automobiles est relie par l'intermédiaire d'une autre borne entrée 104 avec le dispose tif 10 commandé sur programme pour commander celui-ci en fonce tion de l'apparition de repères de référence , Un tel émetteur de repères de référence 54 est couplé dans le cas d'un moteur à combustion interne avec le vilebrequin. La sortie de l'émetteur de repères de référence 54 est reliée par l'intermédiaire d'un branchement 56 avec une autre entrée de la porte OU 53.Ce bran- chement 56 correspond au branchement 55 constitué des parties constitutives 30, 312 34 à 37, 50 à 52. Le mode de fonctionnement du branchement représenté sur la figure 3 est le suivant : Comme dans les deux premiers exemples de réalisation, les impulsions de contr#le, se présentant périodiquement en cas de fonctionnement correct, du dispositif de contrôle 10 commandé sur programme, parviennent, en étant différenciées par les parties constitutives 30, 31 à l'entrée de commande d'un organe temporisé susceptible d'entre redémarré. Cet organe temporisé est constitué des parties constitutives 34 à 36, ainsi que 50, 51. Pendant un signal de contrôle de courte durée, un signal O est présent à la sortie de l'inverseur 50 Si bien que le condensateur 34peut se décharger par l'intermédiaire de la diode 51. Dans l'intervalle de temps suivant, le condensateur 34 se charge par l'intermédiaire des résistances 35, 36 jusqu'à ce qu'une nouvelle décharge s'effectue par le signal de contrôle suivant. les pièces constitutives sont, dans ce cas, dimensionnées de façon telle qu'en fonctionnement régulier, la tension du condensateur 34 reste toujours au-dessous du seuil de réaction de l'inverseur 52. A la sortie de cet inverseur 52 est ainsi présent en permanence, un signal 1. Si un signal de contrale fait défaut, le condensateur 34 continue à se charger et dépasse le seuil de réaction de l'inverseur 52 à la sortie duquel est obtenu en conséquence un signal 0, qui est appliqué à l'entrée d'interruption 103.L'entrée d'interruption est interrogée par des ordres de programmation à des intervalles réguliers ou irréguliers. la phase correspondante du programme se présente de façon telle que lors de l'application d'un signal 1, il s'en suit un passage à l'étape de programme suivante et lors de l'application d'un signal 0, un saut au début du programme. Grâce à une telle installation de surveillance, le programme peut se surveiller lui-même en utilisant peu d'éléments constitutifs externes et dans le cas, de défauts, démarrer un nouveau déroulement de programme. Une telle remise à zéro du programme, c'est-à-dire en pratique le rappel du compteur de programme à son début, s'effectue également lorsqu'un signal de repères de référence fait défaut, ce qui résulte, soit d'un défaut de l'émetteur de repères de référence , soit de l'arrêt de celui-ci. Le branchement 56 correspondant au branchement 55 engendre également lors de labsen- ce d'un tel signal de repères de référence , un signal O à lten trée d'interruption 103, qui détermine la remise à zéro du programme de façon analogue à ce qui a été précédemment décrit. REVENDICATIONS 1.- Installation de surveillance pour des dispos- tifs commandés sur programmes, notamment pour des systèmes com- mandés par des microprocesseurs dans des véhicules automoblles, dispositifs auprès desquels,pendant le déroulement de chaque programme au moins une impulsion de contrele est susceptible d'être prélevée, installation caractérisée en ce qu'en cas d'absence d'une impulsion de contrôle, un nouveau déroulement de programme est déclenché (redémarrage, interruption). 2o Installation selon la revendication i, caracté- risée en ce qu'un organe temporisé susceptible d'être positionné à chaque instant par une impulsion de contr6le (par exemple une monobascule susceptible d'être redéclenchée3 (101, 30 à 36) est associé au dispositif (10) commandé sur programme9 un organe fonctionnel (18, 19, 20 ou bien 41 à 43) étant branché à la suite de cet organe temporisé (lOi, 30 à 36), qui, lors de la commuta- tion de l'organe temporisé (101) , engendre au moins une impul- sion de courte durée susceptible autre appliquée à une entrée (entrée de redémarrage) (t02) du dispositif (10) commandé sur programme pour provoquer un nouveau déroulement de programme. 30- Installation selon la revendication 2, caracté- risée en ce que la sortie de l'organe temporisé (loi) est raccordée à un étage de coïncidence (12) de façon telle, que cet organe de coïncidence (12) est commuté lorsque, pendant le temps où l'organe temporisé est positionné, une autre impulsion de contrôle fait défauts l'étage de coTncidence (12) étant relié avec une installation de commutation de secours (15). 4.- Installation selon l'une quelconque des reven- dications 2 et 39 caractérisée en ce que la sortie inversante de l'organe temporisé (101) est reliée à l'entrée de pos1+ionne- ment d'un autre organe temporisé t et à l'entrée de cadence de l'étage de coïncidence (12) revêtant la forme d'une bascule JK (13) , dont l'entrée J est reliée à la sortie de l'autre or- gane temporisé (11), dont l'entrée K est à la masse et dont la sortie est reliée à l'installation de commutation de secours (15). 50 Installation selon l'une quelconque des reven- dications 3 et 4, caractérisée en ce que les sorties des organes temporisés (101,11) sont reliées aux entrees inversantes d'une porte ET (17), dont la sortie est en liaison fonctionnelle avec l'installation de commutation de secours (15). 6.- Installation selon la revendication 5, caracté- risée en ce que lors de l'enclenchement de la tension tation, un organe RC (229 23) est commandé, dont la sortie agit sur l'entrée de rappel (R) de la bascule Jx-- (13) et sur une au tre entrée de la porte ET (17). 70- Installation selon l'une quelconque des revient dications 2 à 6, caractérisée en ce que ltorganL fonctionnel (41 à 43) comporte un générateur (43) engendrant une impulsion périodique0 8.- Installation selon la revendication 7, caracté risée en ce que le générateur (43) est un émetteur de repèresde référence du dispositif (10) commandé sur programme. 9.- Installation selon la revendication 7, caraeté- risée en ce que le générateur (43) est un multivibrateur astable. 10.- Installation selon l'une quelconque des revient dications 2 à 9p caractérisée en ce que l'organe temporisé est constitué de premiers moyens de commutation (30, 31, 32, 33) pour la décharge d'un condensateur (34) susceptible d'être chargé à partir d'une tension de référence, la tension de ce condensateur commandant deux moyens de commutation (40 à 43) qui sont en liaison fonctionnelle avec l'entrée (102) (entrée de redémar- rage), déterminant un nouveau déroulement de programme, du dispositif (10) commandé sur programme. 11.- Installation selon la revendication 10, carac térisée en ce que les seconds moyens de commutation sont réalisés sous la forme d'un branchement en série de deux transistors (41, 42) dont l'un est susceptible autre commandé à partir de la tension aux bornes du condensateur (34) et l'autre par le générateur (43)0 12.- Installation selon I2une quelconque des revendications I à 11, caractérisée en ce qu'il est prévu des moyens de commutation, qui lors de l'entrée en service du dispositif (10) commandé sur programme, mettent pour un temps déterminé, l'installation de surveillance hors service 13.- Installation selon la revendication 1, caracté- risée en ce qu'un organe temporisé (50 à 52, 34 à 36) , suscep- tible autre positionné à chaque instant par une impulsion de contrôle, est associé au dispositif (10) commandé sur programme, le signal de sortie de cet organe temporisé jetant périodiquement interrogé par l'entrée d'interruption (103) pendant les deroub lements de programmes, et un nouveau déroulement de programme étant démarré en cas de changement du signal appliqué à cette entrée d' interruption0 14o Installation selon la revendication 139 carac- térisée en ce que l'entrée d'interruption est en outre reliée avec la sortie d'un organe temporisé (56) susceptible d'être positionné par les signaux de l'émetteur de repères référence.