FR 2826744 A1 20030103 FR 0207921 A 20020626 Etat de la technique La présente invention concerne un procédé de surveillance du fonctionnement d'un système en contrôlant les signaux d'entrée et les signaux de sortie et au moins une unité fonctionnelle du système. Le système comporte au moins un sous-système subordonné et/ou fait partie d'un système subordonné. Le système comporte des composants réalisés en circuit tels que des capteurs, des actionneurs et/ou des calculateurs de fonction. L'invention concerne également un élément de mémoire pour un dispositif de surveillance du fonctionnement d'un système. L'élément de mémoire contient un programme d'ordinateur que l'on peut dérouler sur un calculateur, notamment un microprocesseur. L'élément de mémoire est par exemple une mémoire morte ROM, une mémoire vive RAM ou une mémoire flash. L'invention concerne également un programme d'ordinateur que l'on peut dérouler sur un calculateur, notamment un microprocesseur. Enfin, l'invention concerne un dispositif de surveillance du fonctionnement d'un système ayant au moins un sous-système subordonné et/ou faisant partie d'un système subordonné. Le système comporte des composants réalisés en circuit avec des capteurs, des actionneurs et/ou des calculateurs de fonction. Le dispositif comporte des moyens pour vérifier les signaux d'entrée, les signaux de sortie et au moins une unité fonctionnelle du système. Selon la présente invention, l'expression système désigne par exemple n'importe quel appareil de commande, en particulier un appareil de commande véhicule automobile. Le système est par exemple réalisé sous la forme d'un appareil de commande pour une gestion électrique ou électronique de batterie (EBM). Le système comprend des soussystèmes par exemple sous la forme d'une unité de calcul telle qu'un circuit intégré d'application spécifique ASIC ou encore un capteur de courant. Le système comprend en outre des unités, par exemple sous la forme d'un algorithme EBM ou d'une image de batterie et des parties comprenant par exemple le calcul d'une tension de consigne de générateur ou autre fonction mathématique ou trigonométrique. L'appareil de commande EBM fait partie d'un système subordonné sous la forme du véhicule automobile proprement dit. De plus, un grand nombre d'autres systèmes, par exemple l'appareil de commande du moteur et l'appareil de commande de la boîte de vitesses équipent le véhicule en plus de l'appareil de commande EBM. Pour assurer un fonctionnement correct d'un système, il est connu, selon l'état de la technique, de surveiller les signaux d'entrée et les signaux de sortie et les unités fonctionnelles du système. Selon le document 41 14 999 Al, on connaît un procédé de surveillance du fonctionnement d'un appareil de commande de véhicule automobile. Dans un microprocesseur de l'appareil de commande on exécute le fonctionnement déterminé de l'appareil de commande. En parallèle à cela, dans une installation de surveillance, on exécute au moins partiellement la même fonction déterminée. Les signaux de sortie du microcalculateur et de l'installation de surveillance sont comparés entre eux et en fonction du résultat de la comparaison on juge si l'appareil de commande fonctionne ou non correctement. En cas de détection de fonctionnement erroné de l'appareil de commande on exécute des mesures de remplacement correspondantes. Le procédé de surveillance proposé dans ce document est fortement orienté vers le circuit du système de surveillance et de ce fait il est très rigide. Le procédé de surveillance proposé dans ce document ne peut pas être appliqué de manière simple à un autre appareil de commande avec une autre fonction déterminée. Au contraire, le procédé de surveillance qui se déroule dans l'installation de surveillance doit être transformé complètement et être adapté à la fonction modifiée de l'autre appareil de commande. Cela peut concerner également une refonte structurelle du procédé de surveillance. Selon le document DE 44 38 714 Al on connaît un procédé de surveillance du fonctionnement d'un appareil de commande. Un microcalculateur de l'appareil de commande est subdivisé en un plan fonctionnel, un plan de surveillance et un plan de contrôle. Le plan fonctionnel exécute le fonctionnement déterminé de l'appareil de commande. Dans le plan de surveillance on vérifie la fonction exécutée, par exemple par une comparaison avec un seuil ou en faisant un contrôle de plausibilité. Dans le plan de surveillance on effectue non pas l'ensemble de la fonction déterminée de l'appareil de commande mais uniquement des fonctions de surveillance précises. Pour pouvoir néanmoins détecter un fonctionnement défectueux du système avec une fiabilité suffisante on a prévu des plans de contrôle supplémentaires dans lesquels on teste une vérification des composants réalisés sous forme de circuits (par exemple des éléments de mémoire ou des microprocesseurs) du système ; par un échange ques- tion/réponse on peut alors vérifier le fonctionnement correct du microprocesseur. Dans ce procédé de surveillance également opposé par ce document l'inconvénient est que la structure du procédé est orientée en fonction du circuit du système à surveiller et est très rigide. Pour pouvoir transposer le procédé de surveillance à un autre appareil de commande avec une autre fonction déterminée, il faut d'abord refondre complètement le procédé de surveillance proposé dans ce document et l'adapter aux nouvelles conditions de circuits et de programmes. Cette solution est toutefois compliquée et coûteuse. La structure du procédé de surveillance du fonctionnement d'un système connu selon les deux documents est uniquement orientée vers le circuit du système et est indépendante de la complexité de la fonction exécutée par le système à surveiller. Si le procédé de surveillance décrit dans ces documents est utilisé pour surveiller une fonction de grande complexité, ce procédé serait théoriquement structuré exactement comme indiqué dans les documents. La complexité croissante des fonctions exécutées de manière déterminée par le système à surveiller, rend le procédé de surveillance de plus en plus complexe et incontrôlable. Les concepts de surveillance décrits dans ces documents ne conviennent pas dans ces conditions pour des fonctions complexes. En particulier dans les concepts de surveillance connus, en cas de défauts, on ne peut attribuer le défaut à une certaine fonction du système. De cette façon à la fois le diagnostic de défaut et la sélection d'une fonction de remplacement sont des opérations qui sont compliquées. La présente invention a pour but de développer un concept valable de manière générale pour surveiller et diagnostiquer des systèmes, et qui puisse se transposer à d'autres systèmes sans nécessiter des transformations importantes. A cet effet, l'invention concerne un procédé du type défini ci-dessus, caractérisé en ce qu'on subdivise de manière hiérarchique une fonction déterminée du système selon la complexité de la fonction en au moins une fonction de sous-système et celle-ci de nouveau en au moins une unité fonctionnelle, et le procédé est structuré en : - une première couche de surveillance (UO) dans laquelle on vérifie l'une des unités fonctionnelles du système en tenant compte des signaux d'entrée et/ou des signaux de sortie de l'unité fonctionnelle ; - une seconde couche de surveillance (Ul) subordonnée à la première couche de surveillance (UO) dans laquelle on vérifie l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sor- tie du sous-système associé à l'unité fonctionnelle, et - au moins une autre couche de surveillance (U2...Un) subordonnée à la seconde couche de surveillance (Ul) dans laquelle on peut vérifier l'unité fonctionnelle en plus en tenant compte des signaux d'entrée et/ou des signaux de sortie du système. Avantages de l'invention Le procédé de surveillance selon l'invention a une structure modulaire et peut ainsi s'élargir facilement et s'appliquer à la surveillance de systèmes très différents de complexité variable. La structure du procédé de surveillance selon l'invention ne distingue pas en principe entre les réalisations sous forme de circuits câblés ou des réalisations sous forme de programmes des fonctions du système à surveiller ; ainsi l'invention peut s'appliquer de manière universelle. La structure du procédé de surveillance selon l'invention est uniquement orientée sur les unités fonctionnelles du système est c'est pourquoi elle dépend également de la complexité de la fonction exécutée par le système déterminé, à surveiller (par exemple des fonctions de commande ou de régulation). La modularité et la structuration du procédé de surveillance selon l'invention donnent globalement une construction claire compréhensible du procédé de surveillance et finalement il est accepté plus facilement par les clients. De plus, les erreurs produites peuvent être associées plus facilement et sans équivoque à certaines couches de surveillance et même à l'intérieur de ces couches de surveillance à différentes unités fonctionnelles. Pour cela, des erreurs de différentes unités fonctionnelles de la même couche de surveillance sont découplées les unes des autres. Cela permet également de simplifier considérablement la recherche de la cause d'une erreur et d'accélérer significativement cette recherche. De plus, on améliore la précision et la fiabilité d'une recherche d'erreur. La présente invention concerne également une mise en structure verticale particulièrement avantageuse d'un procédé de surveillance d'un système. L'exécution de la surveillance des fonctions dans les différentes couches de surveillance n'est limitée en aucune manière par le procédé de surveillance selon l'invention. Les composants réalisés sous forme de circuits câblés peuvent par exemple être surveillés par un système de chien de garde, de test de noyau ou autres modèles de surveillance. La fonction déterminée du système à surveiller est subdivisée en plusieurs couches fonctionnelles suivant la complexité de la fonc- tion. Tout en haut, on a la fonction proprement dite du système. La fonction du système est par exemple une fonction de gestion électronique de batterie (EBM). La fonction du système est subdivisée en au moins une fonction de sous-système qui est réalisée par exemple comme fonction d'un microcalculateur ou d'un capteur de courant. Dans les exemples choisis, la fonction du système et la fonction du sous-système sont réalisées sous forme câblée. Mais on peut également envisager de réaliser ces fonctions comme des programmes. La fonction de sous-système est elle-même subdivisée en au moins une unité fonctionnelle correspondant à une fonctionnalité de programme (par exemple une image de batterie, une gestion de courant de repos (RSM) ou une gestion dynamique d'énergie (DYN) ou encore une fonctionnalité de circuit, par exemple la mesure du courant, la mesure de la tension)). Suivant la complexité de la fonction déterminée du système on peut poursuivre de manière quelconque cette subdivision par l'insertion d'autres couches fonctionnelles. C'est ainsi qu'une unité fonctionnelle est encore subdivisée en au moins une fonction partielle qui dans l'exemple de la gestion dynamique d'énergie est une simple fonction mathématique ou trigonométrique ou encore un calcul de tension de consigne de générateur. Partant de la première couche de surveillance, la complexité de la surveillance augmente de couche en couche. Dans la première couche de surveillance on surveille une unité fonctionnelle du système à l'aide de signaux d'entrée et/ou de signaux de sortie de l'unité considérée, c'est- à-dire à l'aide de l'unité fonctionnelle considérée. Dans la seconde couche de surveillance on surveille l'unité fonctionnelle en plus à l'aide des signaux d'entrée et/ou de sortie d'autres unités fonctionnelles dans le soussystème auquel est associée l'unité fonctionnelle considérée. Dans la troisième couche de surveillance on surveille l'unité fonctionnelle du système en plus à l'aide des signaux d'entrée et/ou de sortie d'autres soussystèmes à l'intérieur du système. Si la fonction du système comporte d'autres couches fonctionnelles sous la première couche fonctionnelle (par exemple des fonctions partielles sous les unités fonctionnelles) on surveille dans la première couche de surveillance, une fonction partielle du système à l'aide de signaux d'entrée et/ou de signaux de sortie de l'unité considérée, c'est- à-dire à l'aide de la fonction partielle considérée. Dans la seconde couche de surveillance on surveille la fonction partielle du système en plus à l'aide des signaux d'entrée et/ou des signaux de sortie d'autres fonctions partielles à l'intérieur de l'unité fonctionnelle qui sont associées à la fonction partielle considérée. Dans la troisième couche de surveillance on surveille la fonction partielle en plus à l'aide des signaux d'entrée et/ou de sortie d'autres unités fonctionnelles à l'intérieur du sous-système auquel est associée la fonction partielle considérée. Dans une autre quatrième couche de surveillance on surveille la fonction partielle en plus à l'aide des signaux d'entrée et/ou de sortie d'autres sous-systèmes à l'intérieur du système. Plus la structure de la fonction du système est complexe et plus complexe sera également la structure du procédé de surveillance selon l'invention. Selon un développement avantageux de l'invention, on vérifie l'unité fonctionnelle en vérifiant les signaux d'entrée et/ou de sortie de l'unité fonctionnelle, du sous-système et/ou du système quant au dépassement vers le haut d'une valeur maximale ou vers le bas d'une valeur minimale et/ou on vérifie le gradient des signaux d'entrée et/ou de sortie quant au dépassement vers le haut d'une valeur maximale ou vers le bas d'une valeur minimale. Selon un mode de réalisation préférentiel de l'invention, les unités fonctionnelles du système à surveiller sont subdivisées en réseaux fonctionnels concernant la sécurité et dont un défaut de fonctionnement représente un risque pour la sécurité dépassant un risque limite donné ainsi qu'en d'autres réseaux fonctionnels dont le fonctionnement défectueux représente un risque pour la sécurité qui est inférieur ou égal au risque limite. Dans le cas de réseaux fonctionnels concernant la sécurité, il faut une réaction suffisamment rapide et sûre, par exemple pour lancer une fonction de remplacement et/ou exécuter une stratégie de coupure appropriée, pour garantir la sécurité du système. Dans les autres réseaux fonctionnels on dispose de suffisamment de temps pour réagir de manière correspondante ou encore en cas de défaillance des fonctions de remplacement on n'a pas de situation mettant en danger la sécurité du système. Selon un autre mode de réalisation préférentiel de l'invention, en cas de fonctionnement défectueux d'un réseau fonctionnel on choisit les mesures de remplacement suivant qu'une unité fonctionnelle correspond à un réseau fonctionnel concernant la sécurité ou un autre réseau fonctionnel. Les mesures de remplacement comprennent notamment un fonctionnement de secours et/ou une coupure de secours d'un composant concerné réalisé sous forme de circuit, une fonction concernée et/ou le système concerné. Le procédé selon l'invention s'applique avantageusement à toutes les unités fonctionnelles du système. Cela signifie que chaque unité fonctionnelle du système est vérifiée par un procédé de surveillance structuré de manière correspondante. Cela permet d'obtenir une information fiable du fonctionnement de l'ensemble du système. De manière préférentielle, on constate un fonctionnement correct du système si toutes les unités fonctionnelles du système fonctionnent correctement. Dès que l'une des unités fonctionnelles vérifiées ne fonctionne pas correctement, l'ensemble du système est considéré comme défectueux. En cas de défaut on sélectionne et on exécute une mesure de remplacement appropriée. La mesure de remplacement peut être exécutée en plus ou à la place de la fonction de l'unité défectueuse considérée (unité fonctionnelle). Comme autre solution du problème de la présente invention, partant du procédé du type défini ci-dessus, le procédé est caractérisé en ce qu'une fonction déterminée du système est subdivisée hiérarchiquement selon la complexité de la fonction et est subdivisée au moins en une fonction de sous-système et celle-ci est de nouveau subdivisée en au moins une unité fonctionnelle, et - dans une première couche de surveillance (UO) on vérifie l'une des unités fonctionnelles du système en tenant compte de signaux d'entrée et/ou de signaux de sortie de l'unité fonctionnelle, - dans une seconde couche de surveillance (Ul) subordonnée à la pre- mière couche de surveillance (UO), on vérifie l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du sous-système associé à l'unité fonctionnelle, et - dans au moins une autre couche de surveillance (U2...Un) subordon- née à la seconde couche de surveillance (Ul), on vérifie l'unité fonc- tionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du système. Il est particulièrement important de réaliser le procédé sous la forme d'un élément de mémoire prévu pour un dispositif de surveillance du fonctionnement du système. L'élément de mémoire contient un programme d'ordinateur que l'on déroule dans un calculateur, en particulier un microprocesseur, et qui exécute le procédé de l'invention. Dans ce cas l'invention est réalisée par un programme d'ordinateur enregistré dans un élément de mémoire de sorte que cet élément de mémoire, avec le programme d'ordinateur, représente de la même manière l'invention que le procédé dont la réalisation peut être exécutée comme programme d'ordinateur. L'élément de mémoire est notamment une mémoire électrique, par exemple une mémoire morte ROM, une mémoire vive RAM ou une mémoire flash. Comme autre solution du problème de la présente invention, partant du programme d'ordinateur tel que défini ci-dessus, il est proposé d'exécuter ce programme d'ordinateur correspondant au procédé de l'invention sur un calculateur. Pour cela, il est particulièrement avantageux que le programme d'ordinateur soit enregistré sur un élément de mémoire, notamment une mémoire morte ROM, une mémoire vive RAM ou une mémoire flash. Enfin, l'invention concerne également un dispositif du type défini ci-dessus, ce dispositif étant caractérisé en ce qu'on subdivise une fonction déterminée du système hiérarchiquement selon la complexité de la fonction en au moins une fonction de sous-système elle-même subdivisée en au moins une unité fonctionnelle et le dispositif comprend : - des moyens d'une première couche de surveillance (UO) vérifiant l'une des unités fonctionnelles du système en tenant compte des signaux d'entrée et/ou des signaux de sortie de l'unité fonctionnelle ; - des moyens d'une seconde couche de surveillance (Ul) subordonnée à la première couche de surveillance (UO) et qui vérifient l'unité fonction- nelle en plus en tenant compte des signaux d'entrée et/ou de sortie du sous-système associé à l'unité fonctionnelle, et - des moyens d'au moins une autre couche de surveillance (U2...Un) subordonnée à la seconde couche de surveillance (Ul) qui vérifient l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du système. Les moyens des différentes couches peuvent être réalisés sous forme de circuits ou de programmes. Ils comprennent par exemple un système de chien de garde, un système de test de noyau ou autres modules de surveillance. On pourrait également envisager un comparateur pour vérifier les différents signaux d'entrée et/ou de sortie quant au dépassement d'une valeur maximale vers le haut ou d'une valeur minimale vers le bas. En plus, on peut former un gradient et le comparateur compa- rera alors les gradients des signaux d'entrée et/ou de sortie quant au dépassement d'une valeur maximale vers le haut ou d'une valeur minimale vers le bas. Dessins La présente invention sera décrite ci-après de manière plus détaillée à l'aide des dessins annexés dans lesquels : - la figure 1 montre la structure d'un système surveillé à l'aide du procé- dé de surveillance de l'invention, - la figure 2 montre la structure d'un procédé de surveillance selon l'invention correspondant à un premier mode de réalisation, - la figure 3 montre la structure d'un procédé de surveillance selon l'invention correspondant à un second mode de réalisation préférentiel, - la figure 4 montre un diagramme fonctionnel pour un premier plan de surveillance du procédé de l'invention, - la figure 5 montre un diagramme fonctionnel pour un second plan de surveillance du procédé de l'invention, - la figure 6 montre un diagramme fonctionnel pour un troisième plan de surveillance du procédé de l'invention, - la figure 7 montre un diagramme fonctionnel pour un quatrième plan de surveillance du procédé de l'invention, - la figure 8 montre un appareil de commande pour la mise en #uvre du procédé de surveillance selon l'invention. Description des exemples de réalisation La présente invention concerne un procédé de surveillance du fonctionnement d'un système quelconque, ce procédé étant structuré verticalement en relation avec la complexité de la fonction déterminée du système à surveiller. La fonction déterminée du système est par exemple une fonction de commande ou de régulation. La structure proposée selon l'invention est indépendante des circuits du système et est extrêmement souple. La fonction déterminée du système à surveiller 1 est considérée dans sa décomposition en éléments. Comme élément fonctionnel on considère la plus petite unité de la fonction du système 1 qui le cas échéant est surveillée par une fonction de surveillance UF. La surveillance ne doit toutefois pas se faire dans les plus petites unités mais elle peut également se faire sur des modules composés de plusieurs éléments fonctionnels. Selon la figure 1, un système subordonné sous la forme d'un véhicule automobile porte la référence A. Le système subordonné A comprend différents systèmes entre autres un appareil de commande de gestion de la batterie électrique (EBM), portant la référence AA. A l'appareil de commande EBM, AA est associé un autre système AB faisant partie du véhicule A. L'autre système AB est par exemple un appareil de commande de moteur ou de commande de boîte de vitesses. L'appareil de commande EBM, AA est subdivisé en deux sous-systèmes AAA et AAB qui sont par exemple constitués par un calculateur 2 (voir figure 8) ou un élément de mémoire 3. L'autre système AB est subdivisé en sous systèmes ABA et ABB. Les sous-systèmes AAA, AAB sont eux-mêmes subdivisés en plusieurs unités AAAA, AAAB, AABA, AABB. La même remarque s'applique aux sous-systèmes ABA et ABB de l'autre système AB. Les unités AAAA, AAAB, AABA, AABB sont par exemple constituées par la gestion de courant de repos (RSM) ou par la gestion dynamique d'énergie (DYN). Les unités AAAA, AAAB, AABA, AABB sont, d'une part, subdivisées en différentes parties. L'unité AAAA est subdivisée en parties AAAAA, AAAAB, AAAAC et l'unité AAAB est subdivisée en parties AAABA, AAABB, AAABC. De même, l'unité AABA est subdivisée en parties AABAA, AABAB, AABAC et l'unité AABB est subdivisée en parties AABBA, AABBB, AABBC. La même remarque s'applique aux unités ABAA, ABAB, ABBA, ABBB des sous-systèmes ABA et ABB de l'autre système AB. Les unités comprennent par exemple un calcul de tension de générateur. La fonction déterminée du système à surveiller AA est subdivisée en plusieurs couches fonctionnelles dépendant de la complexité de la fonction. Tout en haut on a la fonction proprement dite du système (dans le système AA). La fonction du système est par exemple une fonction de gestion électronique de batterie (EBM). La fonction du système est subdivisée en au moins une fonction de sous-système (en sous-systèmes AAA et AAB) qui sont par exemple la fonction d'un microcalculateur et celle d'un capteur de courant. Les fonctions de sous-systèmes sont elles-mêmes subdivisées chaque fois en une unité fonctionnelle (en unités AAAA, AAAB, AABA et AABB) qui correspondent par exemple à une fonctionnalité de programme (asservissement de la batterie, gestion du courant de repos ou gestion dynamique du courant). Suivant la complexité de la fonction du système on ne peut poursuivre de manière quelconque cette subdivision. C'est ainsi qu'une unité fonctionnelle peut être subdivisée en au moins une fonction partielle, (dans les parties AAAAA, AAAAB, AAAAC, AAABA, AAABB, AAABC, AABAA, AABAB, AABAC, AABBA, AABBB, AABBC). Ces parties correspondent dans l'exemple de la gestion dynamique du courant à une simple fonction trigonométrique ou encore à un calcul de tension de consigne de générateur. Dans cette mise en structure fonctionnelle de la fonction déterminée du système AA, AB, on applique le procédé. A la figure 2 on a représenté un modèle en couches avec différentes couches de surveillance d'un procédé de surveillance selon l'invention correspondant à un mode de réalisation préférentiel. Partant d'une première couche de surveillance UO, inférieure, la complexité de la surveillance augmente de couche en couche. L'analyse du procédé selon l'invention a pour point de départ une certaine unité du système AA ;dans le cas présent il s'agit de la fonction partielle AAABA (fig. 4). Dans la première couche de surveillance UO on vérifie la fonction partielle AAABA à partir des signaux d'entrée 6 et/ou des signaux de sortie 8 de cette fonction partielle AAABA par une fonction de surveillance UF AAABA associée à cette fonction partielle AAABA. Dans une seconde couche de surveillance Ul(fig. 5) subordonnée à la couche de surveillance UO, (fig. 5) on vérifie la fonction partielle AAABA en plus à l'aide des signaux d'entrée 8 et/ou des signaux de sortie 9 d'une autre fonction partielle AAABB de cette unité fonctionnelle AAAB, associée à la fonction partielle AAABA considérée. De plus, la fonction partielle AAABB fait partie de la même unité fonctionnelle AAAB que la fonction partielle AAABA considérée. De plus, la fonction partielle AAABB fait partie de la même unité fonctionnelle AAAB que la fonction partielle AAABA considérée. Dans une troisième couche de surveillance U2 (voir fig. 6) subordonnée à la seconde couche de surveillance Ul, on vérifie la fonction partielle AAABA en plus à l'aide des signaux d'entrée 10 et/ou de sortie 11 d'une autre unité fonctionnelle AAAA que l'unité fonctionnelle AAAB à laquelle est associée la fonction partielle considérée AAABA. L'unité fonctionnelle AAAA fait partie du système AAA auquel est associée également la fonction partielle considérée AAABA. Dans une quatrième couche de surveillance U3 (fig. 7) subordonnée à la troisième couche de surveillance U2, on vérifie la fonction partielle AAABA en plus à l'aide des signaux d'entrée 12 et/ou des signaux de sortie 13 d'un autre sous-système AAB que le sous-système AAA au- quel est associée la fonction partielle considérée AAABA. Le sous-système AAB fait partie du système AA auquel est également associée la fonction partielle considérée AAABA. Les opérations de surveillance, qui peuvent être effectuées par plusieurs fonctions de surveillance UF, peuvent être fournies à un point central pour ces fonctions de surveillance UF. De ce fait, ces opérations de surveillance sont disponibles par exemple pour l'enregistrement d'un défaut de toutes les fonctions de surveillance UF. Les différentes fonctions de surveillance UF vérifient certaines fonctionnalités de base (par exemple la détection de la surtension de fonctionnement) des unités fonctionnelles et peuvent s'utiliser de nouveau pour d'autres fonctions de surveillance UF sans nécessiter de transformation importante. On pourrait également envisager par exemple qu'un protocole de communication d'une fonction de surveillance UF par lequel les différentes fonctions de surveillance UF échangent entre elles des données, pourrait s'utiliser pour d'autres fonctions de surveillance UF. Le procédé de surveillance selon l'invention peut être appliqué à n'importe quel système 1. Les éventuels défauts qui se produisent sont découplés des différentes unités fonctionnelles de la même couche de surveillance. Lors de la recherche des causes des défauts on peut ainsi déterminer de manière plus simple les sources des défauts ou erreurs. Le procédé de surveillance selon l'invention permet une association plus simple, sans équivoque, des défauts aux différentes couches de surveillance et ainsi aux unités fonctionnelles du système 1. Comme dans chaque couche de surveillance on surveille uniquement les signaux d'entrée et/ou les signaux de sortie, on dispose globalement de moins de sources d'erreurs du fait des surveillances par comparaison à l'état de la technique si bien que ces sources peuvent se déterminer plus simplement et de manière plus précise. La condition minimale pour la surveillance d'un système 1 est de détecter le moment où le système 1 ne se comporte plus de manière spécifiée. Dans le cas idéal, il faut en outre s'assurer que le système 1 se comporte également de manière spécifiée lorsque des défauts se produisent. Cela suppose des redondances qui ne sont réalisées en général que dans des systèmes considérés comme relevant de la sécurité pour des raisons de coût. Pour tous les autres systèmes 1, la surveillance se limite ainsi généralement à la détection du moment où le système 1 ne se comporte plus de manière spécifiée. La spécification signifie dans le présent contexte la somme de toutes les conditions auxquelles le système doit répondre. Les conditions peuvent être par exemple sécurité en cas de défaillance tolérance d'erreurs sécurité fonctionnelleou encore l'appareil de commande est apte à fonctionner sans limitation pour les tensions de fonctionnement comprises entre 6 volts et 20 volts . Comme ces conditions diffèrent pour chaque système, un concept de surveillance valable de manière générale se caractérise par son application souple aux systèmes les plus différents avec des conditions les plus différentes. Cela nécessite une structure de fonction correspondante permettant d'appliquer les composants de surveillance aux différents systèmes même si ceux-ci répondent à des conditions différentes (du point de vue de la sécurité). La surveillance du système 1 se fait en parallèle à la fonction déterminée du système 1 et ne doit pas limiter celle-ci dans sa réalisation, par exemple par l'utilisation de la capacité de calculs. Le système 1 réagit directement au résultat de la surveillance (entre autre aux défauts). De plus, on peut enregistrer en permanence des défauts et les utiliser immédiatement ou ultérieurement pour une analyse de défauts. Le diagnostic est la partie de la surveillance appelée habituellement dans un atelier, par un testeur de diagnostic correspondant. Il s'agit par exemple de la possibilité de soumettre à une analyse les défauts enregistrés en mémoire. Pour cela il faut une interface appropriée. Cette interface s'appuie sur un protocole normalisé et permet de commander un testeur de diagnostic approprié. C'est ainsi qu'il est possible d'avoir un flux bidirectionnel de données entre l'appareil de commande et le testeur de diagnostic. Le diagnostic offre la possibilité suivante : a) lire une mémoire de défaut et l'effacer, b) lire des signaux de sortie de fonctions sélectionnées (par exemple des grandeurs de capteurs), c) modifier la valeur de signaux d'entrée de fonctions sélectionnées (par exemple pour la commande d'un actionneur) et d) mémoriser les données spécifiques à l'appareil de commande (par exemple un numéro de série). De plus, le diagnostic concerne le calcul des données dites historiques, c'est-à-dire des séries de données qui ont été accumulées pendant des périodes prolongées et qui sont nécessaires à l'analyse du comportement du système (des données assistant le développement). Les données historiques ne sont pas nécessaires au fonctionnement du système. Selon l'invention, les composants du système sont classés d'une manière particulière (fig. 1). On ne distingue pas entre la nature de la réalisation des composants (sous forme de circuits câblés ou de programmes). Au contraire, les composants du système 1 sont classés uniquement selon leur fonctionnalité. La figure 3 montre un modèle de couches avec différentes couches de surveillance d'un procédé de surveillance selon l'invention correspondant à un second mode de réalisation préférentiel. Partant d'une première couche de surveillance UO (inférieure) la complexité de la surveillance augmente de couche en couche. La considération du procédé selon l'invention part d'une certaine unité du système AA ; dans le cas présent il s'agit de l'une des unités fonctionnelles AAAA, AAAB, AABA, AABB. Dans ce modèle de couches, on vérifie dans la première couche de surveillance, l'unité fonctionnelle considérée AAAA, AAAB, AABA, AABB, en tenant compte des signaux d'entrée et/ou des signaux de sortie de cette unité fonctionnelle, la vérification se faisant par une fonction de surveillance UF associée à cette unité fonctionnelle. Dans une seconde couche de surveillance Ul associée à la première couche de surveillance UO on vérifie l'unité fonctionnelle considérée AAAA, AAAB, AABA ou AABB, en plus en tenant compte des signaux d'entrée et/ou de signaux de sortie du sous-système respectif AAA ou AAB auquel est associée l'unité fonctionnelle considérée. Dans une troisième couche de surveillance U2 subordonnée à la seconde couche de surveillance Ul, on surveille l'unité fonctionnelle considérée AAAA, AAAB, AABA ou AABB en plus en tenant compte des signaux d'entrée et/ou des signaux de sortie du système respectif AA auquel est associée l'unité fonctionnelle considérée et dont on veut vérifier le bon fonctionnement. Si toutes les unités fonctionnelles AAAA, AAAB, AABA et AABB du système AA sont reconnues comme fonctionnant correctement, on en déduit que globalement le système AA est en ordre. La figure 8 montre un système 1 réalisé comme appareil de commande et dont le fonctionnement est surveillé à l'aide du procédé de l'invention. L'appareil de commande 1 comprend un élément de mémoire 3 réalisé de préférence comme support de mémoire électrique, notamment comme mémoire à seule lecture, effaçable et programmable (mémoire EPROM). Sur l'élément de mémoire 3 on a enregistré un programme d'ordinateur pour l'exécution du procédé de surveillance de l'invention lorsque ce procédé est exécuté par un calculateur 2 de l'appareil de commande 1. Le calculateur 2 est notamment réalisé par un microprocesseur. Pour exécuter le programme d'ordinateur sur le calculateur 2 on transfère le programme soit globalement soit à la demande à partir de l'élément de mémoire 3 vers l'appareil de calcul 2. Dans le programme d'ordinateur on implémente notamment la structure verticale selon l'invention du procédé de surveillance de façon à subdiviser ce procédé en plusieurs couches de surveillance UO, Ul, U2...Un, suivant la complexité du système 1. L'appareil de commande 1 reçoit les signaux d'entrée de capteur 4 et fournit les signaux de sortie vers les actionneurs 5. Les signaux de sortie sont générés dans le cadre du traitement d'un programme de commande et/ou de régulation dans le microprocesseur 2 pour remplir la fonction déterminée de l'appareil de commande 1. Le programme de commande et/ou de régulation peut également être enregistré dans l'élément de mémoire 3 de l'appareil de commande 1 et être chargé globalement ou à la demande dans le microprocesseur 1 pour être traité. Le programme de commande et/ou de régulation et le programme d'ordinateur pour l'exécution du procédé de surveillance selon l'invention peuvent être regroupés en un même programme. REVENDICATIONS 1 ) Procédé de surveillance du fonctionnement d'un système (1) selon lequel on vérifie les signaux d'entrée, les signaux de sortie et au moins une unité fonctionnelle du système (1), le système (1) ayant au moins un sous-système subordonné et/ou faisant partie d'un système subordonné (6), et comportant des composants réalisés sous forme de circuits comprenant des capteurs (4), des actionneurs (5) et/ou des calculateurs de fonction (2), caractérisé en ce qu' on subdivise de manière hiérarchique une fonction déterminée du système (1) selon la complexité de la fonction en au moins une fonction de soussystème et celle-ci de nouveau en au moins une unité fonctionnelle, et le procédé est structuré en : - une première couche de surveillance (UO) dans laquelle on vérifie l'une des unités fonctionnelles du système (1) en tenant compte des signaux d'entrée et/ou des signaux de sortie de l'unité fonctionnelle ; - une seconde couche de surveillance (Ul) subordonnée à la première couche de surveillance (UO) dans laquelle on vérifie l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sor- tie du sous-système associé à l'unité fonctionnelle, et - au moins une autre couche de surveillance (U2...Un) subordonnée à la seconde couche de surveillance (Ul) dans laquelle on peut vérifier l'unité fonctionnelle en plus en tenant compte des signaux d'entrée et/ou des signaux de sortie du système (1). 2 ) Procédé selon la revendication 1, caractérisé en ce qu' on vérifie l'unité fonctionnelle en contrôlant les signaux d'entrée et/ou de sortie de l'unité fonctionnelle du sous-système et/ou du système quant au dépassement vers le haut d'une valeur maximale ou vers le bas d'une valeur minimale et/ou en vérifiant le gradient des signaux d'entrée et/ou des signaux de sortie pour le dépassement vers le haut d'une valeur maximale ou vers le bas d'une valeur minimale. 3 ) Procédé selon l'une quelconque des revendications 1 ou 2, caractérisé en ce que les unités fonctionnelles du système (1) à surveiller constituent des réseaux fonctionnels concernant la sécurité dont le fonctionnement défec- tueux représente un risque de sécurité, situé au-dessus d'un risque limite prédéterminé et on subdivise en d'autres réseaux fonctionnels dont le fonctionnement défectueux représente un risque de sécurité inférieur ou égal au risque limite. 4 ) Procédé selon la revendication 3, caractérisé en ce qu' en cas de fonctionnement défectueux d'un réseau fonctionnel on sélectionne des mesures de remplacement suivant qu'une unité fonctionnelle d'un réseau fonctionnel concernant la sécurité ou d'un autre réseau fonctionnel présente un fonctionnement défectueux. 5 ) Procédé selon la revendication 4, caractérisé en ce que les mesures de remplacement comprennent un fonctionnement de secours et/ou une coupure de secours. 6 ) Procédé selon l'une quelconque des revendications 1 à 5, caractérisé en ce que le procédé est appliqué à toutes les unités fonctionnelles du système (1). 7 ) Procédé selon la revendication 6, caractérisé en ce qu' on constate que le système (1) fonctionne correctement si toutes les unités fonctionnelles du système fonctionnent correctement. 8 ) Procédé de surveillance du fonctionnement d'un système (1) consistant à vérifier les signaux d'entrée et les signaux de sortie et au moins une unité fonctionnelle du système (1), le système (1) ayant au moins un sous-système sous-bordonné et/ou faisant partie d'un système (6) subordonné, et comportant des composants réalisés sous la forme de circuits tels que des capteurs (4), des actionneurs (5) et/ou des calculateurs de fonction (2), caractérisé en ce qu' une fonction déterminée du système (1) est subdivisée hiérarchiquement selon la complexité de la fonction et est subdivisée au moins en une fonction de sous-système et celle-ci est de nouveau subdivisée en au moins une unité fonctionnelle, et - dans une première couche de surveillance (UO) on vérifie l'une des unités fonctionnelles du système (1) en tenant compte de signaux d'entrée et/ou de signaux de sortie de l'unité fonctionnelle, - dans une seconde couche de surveillance (Ul) subordonnée à la pre- mière couche de surveillance (UO), on vérifie l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du sous-système associé à l'unité fonctionnelle, et - dans au moins une autre couche de surveillance (U2...Un) subordon- née à la seconde couche de surveillance (Ul), on vérifie l'unité fonc- tionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du système (1). 9 ) Elément de mémoire (3), notamment mémoire morte (ROM), mémoire vive (RAM) ou mémoire flash pour un dispositif de surveillance du fonctionnement d'un système (1), contenant un programme d'ordinateur exécuté par un calculateur (2), notamment un microprocesseur, pour la mise en #uvre du procédé selon l'une des revendications 1 à 7. 10 ) Programme d'ordinateur exécutable par un calculateur (2), notamment un microprocesseur, caractérisé en ce qu' il est appliqué à l'exécution d'un procédé selon l'une des revendications 1 à 7 sur le calculateur (2). 11 ) Programme d'ordinateur selon la revendication 10, caractérisé en ce qu' il est enregistré dans un élément de mémoire (3), notamment une mémoire morte (ROM), une mémoire vive (RAM) ou une mémoire flash. 12 ) Dispositif de surveillance du fonctionnement d'un système (1) ayant au moins un système subordonné (6) et comportant des composants réalisés en circuits comprenant des capteurs (4), des actionneurs (5) et/ou des calculateurs de fonction (2), le dispositif comprenant des moyens pour vérifier les signaux d'entrée, les signaux de sortie et au moins une unité fonctionnelle du système (1), caractérisé en ce qu' on subdivise une fonction déterminée du système (1) hiérarchiquement selon la complexité de la fonction en au moins une fonction de sous- système elle-même subdivisée en au moins une unité fonctionnelle et le dispositif comprend : - des moyens d'une première couche de surveillance (UO) vérifiant l'une des unités fonctionnelles du système (1) en tenant compte des signaux d'entrée et/ou des signaux de sortie de l'unité fonctionnelle ; - des moyens d'une seconde couche de surveillance (Ul) subordonnée à la première couche de surveillance (UO) et qui vérifient l'unité fonction- nelle en plus en tenant compte des signaux d'entrée et/ou de sortie du sous-système associé à l'unité fonctionnelle, et - des moyens d'au moins une autre couche de surveillance (U2...Un) subordonnée à la seconde couche de surveillance (Ul) qui vérifient l'unité fonctionnelle en plus en tenant compte de signaux d'entrée et/ou de signaux de sortie du système (1).