FR 2696252 A1 19940401 FR 9211478 A 19920925 La présente invention concerne un dispositif de contrôle d'une charge électrique. Elle concerne aussi un dispositif de direction assistée de véhicule utilisant un dispositif de contrôle selon l'invention. On a déjà proposé de réaliser le contrôle de l'alimentation d'une charge électrique comme le moteur d'un actionneur à l'aide d'un circuit de pilotage attaqué par un processeur de données. Dans un tel dispositif, on a déjà proposé des dispositifs de test du fonctionnement de certains composants importants au point de vue de la sécurité du fonctionnement général. C'est en particulier le cas pour certains composants d'un dispositif de direction assistée notamment du genre comportant un moteur électrique, un embrayage électromagnétique et divers capteurs de conditions d'assistance comme un capteur de couple volant, un capteur de vitesse du véhicule, et un capteur de régime moteur (moteur thermique). En effet, la défaillance momentanée ou définitive de l'un de ces composants fait courir un danger grave au véhicule, en ce que l'assistance de direction peut provoquer un braquage intempestif des roues directrices du véhicule. Dans un autre domaine technique, on a aussi proposé d'utiliser une caractéristique de redondance sur différents éléments d'un système, la défaillance de l'un de ces éléments étant palliée par la mise en route d'un élément de réparation ou de remplacement. Cependant une telle technique de redondance nécessite de disposer d'un organe de commutation d'un élément défaillant vers un élément de remplacement. De plus, une telle technique de redondance ne permet pas de garantir qu'une action intempestive ne sera pas décidée par le système. La présente invention apporte un remède à ces divers éléments de l'état de la technique. En effet, elle concerne un dispositif de contrôle d'une charge électrique du type comportant un circuit de commande du contrôle de la charge connecté entre une source d'énergie et la charge contrôlée, le circuit de commande du contrôle de la charge comportant une entrée d'un signal de commande du contrôle produit sur une sortie d'un moyen de calcul de la commande du contrôle de la charge selon au moins une loi de contrôle prédéterminée enregistrée ou auto-apprentie dans le moyen de calcul en fonction d'un signal, produit par un moyen de détection du contrôle, représentatif de l'effet réellement produit sur la charge par le contrôle et d'au moins un signal de mesure de l'environnement. L'invention se caractérise notamment en ce que, pour éviter une commande intempestive du contrôle de la charge, il comporte un moyen de calcul supplémentaire, sensiblement identique au premier moyen de calcul, qui est connecté en entrée au même moyen de détection d'une condition de contrôle de façon à élaborer à l'aide d'une loi de contrôle qui y est enregistrée ou auto-apprentie, une commande fictive de contrôle de la charge, commande transmise à un moyen de calcul d'un effet de la dite commande fictive, et qui comporte de plus un moyen de comparaison du dit effet à une mesure de l'effet réellement produit sur la charge, la sortie du moyen de comparaison étant connectée à un circuit générateur d'au moins un ordre d'inhibition de la commande du contrôle si la comparaison n'est pas cohérente. Dans un mode de réalisation, la commande du contrôle est effectuée par déclenchement d'une action "tout ou rien" d'un organe de transmission du contrôle. Dans un mode de réalisation, la commande du contrôle est effectuée par variation de la puissance électrique transmise à la charge. Dans un mode de réalisation, la mesure de l'effet du contrôle est faite sur le courant débité réellement dans la charge. L'invention concerne aussi un dispositif de direction assistée du type comportant un système d'assistance comportant notamment un moteur électrique et/ou un embrayage électromagnétique, qui sont commandés par un calculateur selon une loi d'assistance, enregistrée à titre de loi de contrôle dans un dispositif de contrôle, ou encore auto-apprentie selon l'invention, de façon à supprimer l'assistance en cas de défaillance du système d'assistance. D'autres caractéristiques et avantages de l'invention apparaîtront dans la description et de dessins qui sont - la figure 1 : un schéma de principe d'un dispositif de contrôle selon un mode de réalisation de l'invention - la figure 2 : un schéma de principe d'un dispositif de direction assistée selon l'invention ; - la figure 3 : un mode de réalisation d'un circuit du dispositif de la figure 2. A la figure 1, on a représenté un dispositif de contrôle selon l'invention. Dans l'art antérieur, on connait déjà un dispositif du type comportant un processeur dont la sortie attaque l'entrée d'un circuit de pilotage. La sortie du circuit de pilotage est connectée à une entrée de commande de variation de puissance d'un circuit de commande de la variation de puissance connectée entre une source d'énergie SE et la charge C. La source d'énergie peut être notamment constituée par un réseau d'alimentation d'électricité ou la batterie embarquée à bord d'un véhicule. D'autre part, on a aussi proposé de réaliser une mesure de la puissance réellement transmise à la charge par le circuit à l'aide d'un moyen de mesure dont une sortie est connectée à une entrée de puissance du processeur P1. Le processeur produit un ordre de commande sur sa sortie en fonction d'une loi de contrôle enregistrée ou auto-apprentie. Cette loi produit un ordre de commande en fonction de données d'entrée transmises par des moyens de mesure de l'environnement Ca connectés à une entrée El du processeur P1. Ainsi qu'on l'a indiqué plus haut, la défaillance de l'un des éléments du dispositif pourrait entraîner un fonctionnement intempestif. Pour empêcher cela, le dispositif de contrôle de l'invention comporte un deuxième processeur P2 dont l'entrée E2 est aussi connectée aux moyens de mesure de l'environnement Ca et dont une entrée Mm2 est aussi connectée à la sortie MS du moyen de mesure M de la puissance réellement fournie à la charge électrique. Pour généraliser l'invention, il faut comprendre que la charge C est destinée à être contrôlée par une commande, variable ou non produite par le processeur P1 en fonction des données d'entrée et de la loi de contrôle qui y est enregistrée. De ce fait, à la figure 1 on a représenté un processeur P1 dont la sortie Pel transfère un signal de commande du contrôle de la charge, comme un signal de commande de la variation de puissance fournie à la charge C depuis la source SE. Le processeur P2 est sensiblement identique au processeur P1. Mais, au lieu de produire lui aussi un ordre de commande du contrôle, respectivement de variation de puissance, (comme ce serait le cas dans un système à élément de réparation), il produit en sortie un ordre de commande fictif CF qui ne sera en fait pas utilisé pour commander le contrôle. Le signal de commande fictive est transmis à l'entrée d'un moyen de simulation de l'effet que devrait produire le signal de commande s'il était réellement appliqué au contrôle. En sortie, le moyen générateur SIM produit un signal d'effet simulé Eff qui est transmis à une première entrée d'un moyen de comparaison CMP. D'autre part, le moyen de mesure Mer de l'effet réellement produit par le contrôle est connecté à un circuit d'interface INT qui permet éventuellement de retarder le signal Mm2 par rapport à d'autres signaux, où le filtrer, de façon à produire un signal d'effet réel Re qui est transmis à la seconde entrée du moyen de comparaison CMP. Tant que la comparaison est cohérente, la sortie Pe2 du processeur P2 laisse actif le contrôle par le processeur P1. Dès que la comparaison indique une incohérence entre la loi de contrôle, la mesure de l'environnement Ca et la mesure de l'effet réellement produit MS, le processeur P2 place sa sortie Pe2 dans un état permettant de bloquer le contrôle du premier processeur P1, et plus généralement émet un ordre dtinhibition de la commande du contrôle. De cette manière, on dispose d'un moyen permettant à la charge électrique de prendre un état garantissant un fonctionnement sûr du système. Un tel état est celui dans lequel la charge électrique peut rester dans un état de défaillance au plus pendant un temps critique de disfonctionnement avant d'être mise à l'état passif. A la figure 2, on a représenté un mode de réalisation d'un dispositif de direction assistée doté d'un dispositif de contrôle selon la figure 1. Le dispositif comporte un calculateur qui détermine des commandes principalement à destination d'un embrayage EM et d'un moteur M. Il reçoit les informations de divers capteurs de l'environnement Ca et qui sont connectés - sur une entrée 1 recevant un signal de mesure de la vitesse du véhicule, - sur une entrée 2 recevant un signal de mesure du régime du moteur thermique, ctest-à-dire de sa vitesse de rotation, - sur une entrée 3 recevant un signal de mesure du couple exercé par le conducteur sur le volant de direction, - sur une entrée 4 recevant une mesure de la tension batterie +BAT. Ces signaux sont mis en forme dans un circuit dtinterfaçage 5 convenable. Le bus de sortie 6 du moyen dtinterfaçage est connecté à un port d'entrée de données 7 sur un microcontrôleur P1 et 8 sur un microcontrôleur P2. Les microcontrôleurs P1 et P2 jouent les rôles des premier et second processeurs du dispositif de la figure 1. Le microcontrôleur P1 exécute un programme 9 représentatif d'une loi d'assistance (la loi de contrôle du dispositif analogue de la figure 1) qui reçoit comme données d'entrée les données lues sur le port d'entrée 7. Il produit une sortie de commande à un port de sortie 10 connecté par une liaison 11 à l'entrée d'un circuit logique de pilotage 12. La sortie 13 du circuit logique 12 sert de commande de variation de puissance au circuit 14 de commande de variation de puissance. La puissance d'entrée est fournie par un circuit élévateur de tension 15 connecté à l'entrée 16 du circuit 14. Dans un mode de réalisation qui sera décrit plus loin, le circuit 14 est constitué par un pont en H. Les sorties 17 et 18 sont connectées aux bornes du moteur M et transfèrent la puissance commandée. D'autre part, le circuit de commande de variation de puissance 14 comporte au moins un moyen de mesure 19, 20 de la puissance réellement fournie au moteur M. Par une sortie 21a,21b le moyen de mesure 19 produit un signal proportionnel à la puissance effectivement fournie entre les bornes 17 et 18. Cette sortie 21a, 21b est envoyée à un port d'entrée analogique 22 sur le microcontrôleur P1 et 23 sur le microcontrôleur P2 qui sera décrit ultérieurement. D'autre part, le microcontrôleur P1 comporte un port de sortie 24 connecté à un circuit de sélection 25 dont une sortie 27 est active pour embrayer l'embrayage EM. Le microcontrôleur P2 comporte un programme 30 sensiblement analogue au programme 9 du microcontrôleur 31, et qui reçoit comme donnée d'entrée les données lues sur son port d'entrée 8. En fonction de la puissance effective lue sur son port d'entrée 23, le microcontrôleur exécute une comparaison entre l'exécution de la loi d'assistance enregistrée dans le microcontrôleur P2 et la valeur de la puissance effective. Si cette comparaison présente une cohérence, le microcontrôleur P2 place ses ports de sortie 31 et 32 à l'état actif. Dans cet état, le fonctionnement normal du système est autorisé. A cette fin le port d'entrée 32 est connecté à une entrée d'autorisation de fonctionnement du circuit logique de pilotage 12. De même, le port d'entrée 31 est connecté au circuit de sélection 25. Le circuit de sélection 25 est, dans un mode de réalisation préféré, constitué par une première porte ET 33 dont une première entrée est connectée au port de sortie 24 du premier microcontrôleur P1 et dont une deuxième entrée est connectée au port de sortie 31 du second microcontrôleur P2. La sortie 28 de la porte ET 33 permet de commander la fermeture d'un relayage de puissance 34 qui permet en particulier d'alimenter le dispositif de direction assistée. Tant que le port de sortie 31 du second microcontrôleur est actif, le relais de puissance reste fermé. Si, bien que son port de sortie 24 soit resté actif, mais que le second microcontrôleur P2 détecte une défaillance grâce à la comparaison de cohérence décrite précédemment, le port 31 devient inactif et la sortie 28 de la porte ET 33 retombe à zéro. De ce fait, le relais de puissance 34 est ouvert. Le circuit de sélection 25 comporte une seconde porte ET 34 dont une première entrée est connectée à une borne du port de sortie 24 du premier microcontrôleur 31 et dont une seconde entrée est connectée à une borne du port de sortie 31 du second microcontrôleur P2. La sortie 27 de la seconde porte ET 34 commande l'embrayage EM quand les deux entrées de la porte ET 34 sont actives. En cas de défaillance, le fonctionnement de la porte ET 34 est analogue à celui de la porte ET 33. Le circuit de sélection 25 comporte aussi une porte OU 35 dont une première borne d'entrée est connectée à une borne du port de sortie 24 du premier microcontrôleur Pi et dont une seconde borne d'entrée est connectée à une borne du port de sortie 31 du second microcontrôleur P2. La borne de sortie 26 de la porte OU 35 est connectée à un moyen d'alarme 36 par exemple constitué par un voyant de défaut. D'autre part, le second microcontrôleur P2 comporte un moyen de dialogue 37 connecté par une liaison 38 à un moyen de dialogue 39 dans le premier microcontrôleur P1. D'autre part, le second microcontrôleur comporte une mémoire non volatile 40 comme une mémoire programmable électriquement effaçable EEPROM. Cette mémoire est destinée à contenir la liste des messages échangés par la liaison 38 entre les deux microcontrôleurs P1,P2. A cet effet, la mémoire 40 peut être adressée par le programme 30 de manière interne ou par une liaison spécialisée 41 avec un outil de diagnostic 42. Cet outil de diagnostic n'est utilisé que lors de la maintenance. La mémoire 40 peut comporter des informations indiquant un code de la défaillance ainsi que la date de la défaillance. D'autre part, le moyen de mesure 19,20 de la puissance effective délivrée comporte une sortie 43a,43b qui est active quand la puissance effective est inférieure à un certain seuil, permettant de protéger le dispositif contre les surintensités. La sortie 43a,43b est connectée d'une part à une entrée d'activation 44 du circuit de pilotage 12 et à une entrée convenable du port d'entrée 23 du second microcontrôleur P2. Chaque microcontrôleur P1,P2 comporte un moyen respectivement 45,46 de surveillance de son alimentation électrique. Il comporte aussi un moyen 47 ou 48 de supervision de l'alimentation de l'autre microcontrôleur. De ce fait, le moyen 48 de supervision de l'alimentation du premier microcontrôleur renseigne le second microcontrôleur d'une défaillance de l'alimentation 45 du premier microcontrôleur. Dans un autre mode de réalisation le premier microcontrôleur P1 surveille seulement l'alimentation du second microcontrôleur P2 et lance une action de passivation lors de la détection d'une défaillance. Réciproquement, le second microcontrôleur P2 surveille seulement l'alimentation du premier microcontrôleur P1. A la figure 3, on a représenté un mode de réalisation du circuit 14 de commande de variation de puissance et du moyen de mesure 19,20 de la puissance effective fournie au moteur. Le circuit 14 est constitué principalement par un pont en H comportant quatre interrupteurs I1-I4 dont les électrodes de commande sont connectées par l'intermédiaire du bus 13 (voir figure 2) au circuit de pilotage 12. La borne commune des interrupteurs Il et I4 est connectée à une borne du moteur L et la borne commune des interrupteurs I3 et I2 est connectée à l'autre borne du moteur L.Le point commun entre les interrupteurs Il et I3 est connecté d'une part à un potentiel V1 par l'intermédiaire d'une résistance R1 et d'autre part au moyen de mesure M de la puissance effective. Le circuit 19 comporte un moyen de mesure 50 du courant traversant la résistance R1 dont la sortie est connectée à une borne S1 (équivalente à la borne 21a de la figure 2). La sortie du moyen de mesure 50 est fournie à une première entrée d'un comparateur 51 dont une seconde borne d'entrée est connectée à un générateur 52 d'une valeur de référence. La sortie du comparateur 51 est connectée à une borne S2 analogue à la borne 43a de la figure 2. Le circuit 20 mesure le courant traversant la résistance R2 du circuit 14 et produit des sorties S3,S4 respectivement analogues aux bornes 43b et 21b de la figure 2. REVENDICATIONS 1. Dispositif de contrôle d'une charge électrique (C) du type comportant un circuit de commande (Cde) du contrôle de la charge, connecté entre une source d'énergie (SE) et la charge contrôlée (C), le circuit de commande (Cde) du contrôle de la charge comportant une entrée d'un signal de commande (Pel) du contrôle produit sur une sortie d'un moyen de calcul (P1) de la commande du contrôle de la charge selon au moins une loi de contrôle prédéterminée enregistrée ou auto-apprentie dans le moyen de calcul (P1) en fonction d'un signal (mil), produit par un moyen de détection du contrôle (Mer), représentatif de l'effet réellement produit sur la charge par le contrôle et d'au moins un signal de mesure (Ca) de l'environnement, caractérisé en ce que, pour éviter une commande intempestive du contrôle de la charge, il comporte un moyen de calcul supplémentaire (P2), sensiblement identique au premier moyen de calcul (P1), qui est connecté en entrée (Mm2) au même moyen de détection d'une condition de contrôle (Mer) de façon à élaborer à l'aide d'une loi de contrôle qui y est enregistrée ou auto-apprentie, une commande fictive (CF) de contrôle de la charge, commande transmise à un moyen de calcul (SIM) d'un effet de ladite commande fictive, et qui comporte de plus un moyen de comparaison (CMP) dudit effet (Eff) à une mesure de l'effet réellement produit sur la charge (Re), la sortie (Coh) du moyen de comparaison (CMP) étant connectée à un circuit générateur (INI) d'au moins un ordre dtinhibition (Pe2) de la commande du contrôle si la comparaison n'est pas cohérente. 2. Dispositif selon la revendication 1, caractérisé en ce que la commande du contrôle est effectuée par déclenchement d'une action "tout ou rien" d'un organe de transmission du contrôle. 3. Dispositif selon la revendication 1 ou 2, caractérisé en ce que la commande du contrôle est effectuée par variation de la puissance électrique transmise à la charge. 4. Dispositif selon la revendication 3, caractérisé en ce que la mesure de l'effet du contrôle est faite sur le courant débité réellement dans la charge. 5. Dispositif selon l'une des revendications précédentes, caractérisé en ce que le contrôle est réalisé en "tout ou rien" et en ce que le dispositif comporte un circuit de sélection (25) autorisant l'actionnement de la charge électrique comme un embrayage électromagnétique (EM) ou un relais de puissance (34), si la sortie de cohérence (31) est positive, et interdisant cet actionnement sinon. 6. Dispositif selon l'une des revendications précédentes, caractérisé en ce que le second microcontrôleur (P2) comporte un moyen de dialogue (37) connecté par une liaison (38) à un moyen de dialogue (39) dans le premier microcontrôleur (P1). 7. Dispositif selon la revendication 6, caractérisé en ce crue le second microcontrôleur (P2) comporte une mémoire non volatile (40) comme une mémoire programmable électriquement effaçable EEPROM, destinée à contenir la liste des messages échangés par la liaison (38) entre les deux microcontrôleurs (P1, P2), la mémoire (40) pouvant être adressée par le second micrcontrôleur (30) de manière interne ou par une liaison spécialisée (41) avec un outil de diagnostic (42), cet outil de diagnostic n'étant utilisé que lors de la maintenance, la mémoire (40) pouvant comporter des informations indiquant un code de la défaillance ainsi que la date de la défaillance. 8. Dispositif selon la revendication 5 ou 6, caractérisé en ce que le moyen de mesure (19, 20) de la puissance effective délivrée comporte une sortie (43a, 43b) qui est active quand la puissance effective est inférieure à un certain seuil, permettant de protéger le dispositif contre les surintensités, la sortie (43a, 43b) étant connectée d'une part à une entrée d'activation (44) du circuit de pilotage (12) et à une entrée convenable du port d'entrée (23) du second microcontrôleur (P2). 9. Dispositif selon la revendication 1, caractérisé en ce que chaque microcontrôleur (P1, P2) comporte un moyen (45, 46) de surveillance de son alimentation électrique et un moyen (47 ou 48) de supervision de l'alimentation de l'autre microcontrôleur, le moyen (48) de supervision de l'alimentation du premier microcontrôleur (P1) renseignant le second microcontrôleur (P2) d'une défaillance de l'alimentation (45) du premier microcontrôleur. 10. Dispositif selon la revendication 1, caractérisé en ce crue le circuit (14) de commande de variation de puissance est constitué principalement par un pont en H comportant quatre interrupteurs (I1-I4) dont les électrodes de commande sont connectées par l'intermédiaire du bus (13, voir figure 2) au circuit de pilotage (12), le point commun entre les interrupteurs Il et I3 étant connecté d'une part à un potentiel (V1) par l'intermédiaire d'une résistance (R1) et d'autre part au moyen de mesure (M) de la puissance effective, qui comporte un circuit (19) comportant un moyen de mesure (50) du courant traversant la résistance (R1) dont la sortie est connectée à une borne (S1) (figure 2), la sortie du moyen de mesure (50) étant fournie à une première entrée d'un comparateur (51) dont une seconde borne d'entrée est connectée à un générateur (52) d'une valeur de référence, la sortie du comparateur (51) étant connectée à une borne (S2) (figure 2), et qui comporte un circuit (20) qui mesure le courant traversant la résistance (R2) du circuit (14) et qui produit des sorties (S3, S4) (figure 2). 11. Dispositif de direction assistée, caractérisé en ce qu'il comporte un dispositif de contrôle selon l'une des revendications précedentes, la loi de contrôle étant constituée par une loi d'assistance, la charge étant constituée par un moteur électrique (M) et éventuellement un embrayage électromagnétique (EM), et/ou un moyen d'alarme de défaillance (36) et/ou un moyen d'alimentation général (34).